Katalog podatności CVE

W podatności CVE-2025-49028 występuje problem Cross-Site Request Forgery (CSRF) w Zoho Mail, który umożliwia przechowywanie XSS. Dotyczy to wersji Zoho ZeptoMail od n/a do 3.3.1 włącznie.

Zapora VPN opracowana przez QNO Technology posiada podatność na wstrzykiwanie poleceń systemowych, która umożliwia uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych poleceń systemowych i ich wykonywanie na serwerze.

Zapora VPN opracowana przez QNO Technology ma podatność na niewystarczającą entropię, co pozwala nieautoryzowanym zdalnym atakującym na uzyskanie dostępu do sesji zalogowanego użytkownika poprzez ataki brute-force, a następnie na zalogowanie się do systemu.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Custom Post Status w wersjach od n/a do 1.1.0 umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności statusu niestandardowego postów.

Wtyczka Recent Posts From Each Category w Mindstien Technologies zawiera podatność na Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 1.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Noindex by Path autorstwa Marcina Kijaka umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP-EasyArchives umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji WP-EasyArchives od n/a do 3.1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce SensitiveTagCloud pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji SensitiveTagCloud od n/a do 1.4.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Social Profilr umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Social Profilr od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w merzedes Custom Style umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Custom Style od n/a do 1.0 włącznie.

Wtyczka Knowband Mobile App Builder dla WordPressa przed wersją 3.0.0 nie wymaga autoryzacji przy usuwaniu użytkowników za pomocą swojego interfejsu API REST, co pozwala nieautoryzowanym atakującym na usuwanie dowolnych użytkowników.

Podatność typu Cross-Site Request Forgery (CSRF) w menedżerze portfeli Behance Portfolio Manager umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji menedżera portfeli od n/a do 1.7.5 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Simple Archive Generator umożliwia przeprowadzenie ataku Stored XSS. Problem dotyczy wersji od n/a do 5.2 włącznie.

Wykryto podatność w urządzeniach Tenda i24, 4G03 Pro, 4G05, 4G08, G0-8G-PoE, Nova MW5G oraz TEG5328F do wersji 65.10.15.6. Problem dotyczy nieznanej funkcji komponentu Shadow File, która umożliwia uzyskanie dostępu do twardo zakodowanych poświadczeń poprzez manipulację wejściem Fireitup.

W podatności CVE-2025-62753 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce MadrasThemes MAS Videos w wersjach od n/a do 1.3.4. Problem ten umożliwia atakującym dostęp do lokalnych plików na serwerze.

Podatność CSRF w wtyczce WP-CalDav2ICS umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.3.4 włącznie.

Ksenia Security lares (model starszy) w wersji 1.6 zawiera krytyczną lukę bezpieczeństwa, która ujawnia PIN systemu alarmowego w pliku XML 'basisInfo' po uwierzytelnieniu. Atakujący mogą uzyskać PIN z odpowiedzi serwera, co pozwala na ominięcie zabezpieczeń i dezaktywację systemu alarmowego bez dodatkowego uwierzytelnienia.

Model Ksenia Security lares (legacy) systemu automatyki domowej w wersji 1.6 zawiera podatność na niechroniony punkt końcowy, który pozwala uwierzytelnionym atakującym na przesyłanie binarnych obrazów systemu plików MPFS. Atakujący mogą wykorzystać tę podatność do nadpisania pamięci programu flash i potencjalnego wykonania dowolnego kodu na serwerze WWW systemu automatyki domowej.

Model legacy Ksenia Security lares w wersji 1.6 zawiera podatność na domyślne dane uwierzytelniające, która umożliwia nieautoryzowanym atakującym uzyskanie dostępu administracyjnego. Atakujący mogą wykorzystać słabe domyślne dane administracyjne, aby przejąć pełną kontrolę nad systemem automatyki domowej.

Tosibox Key Service 3.3.0 zawiera podatność związaną z niecytowaną ścieżką usługi, która pozwala lokalnym użytkownikom bez uprawnień na potencjalne wykonanie kodu z podwyższonymi uprawnieniami systemowymi. Atakujący mogą wykorzystać proces uruchamiania usługi, wstawiając złośliwy kod w ścieżce katalogu głównego systemu, co umożliwia nieautoryzowane wykonanie kodu podczas uruchamiania aplikacji lub ponownego uruchomienia systemu.