Katalog podatności CVE

W podatności CVE-2025-68984 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten dotyczy wersji Puca od n/a do 2.6.39.

W podatności CVE-2025-68983 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy wersji Greenmart od n/a do 4.2.11.

Dodatek DesignThemes LMS Addon dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.6 włącznie.

Wtyczka HomeFix Elementor Portfolio dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.1 włącznie.

Wtyczka WeDesignTech Portfolio dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.2 włącznie.

Podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika we wtyczce WordPress Google Calendar Events (do wersji 3.5.9) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowany dostęp.

Podatność typu DOM-Based XSS w rdzeniu DesignThemes Core (wersje do 1.6) umożliwia atakującemu manipulację DOM w przeglądarce ofiary, co może prowadzić do wykonania złośliwego kodu.

Podatność DOM-Based XSS w wtyczce DesignThemes Portfolio Addon (wersje do 1.5) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony.

Wtyczka Eagle Booking dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.3.4.3 włącznie.

Wtyczka Eagle Booking (eagle-booking) w wersjach do 1.3.4.3 włącznie zawiera podatność typu obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress 'Social Login and Register' od miniOrange do wersji 7.7.0 zawiera podatność na lokalne dołączanie plików PHP (PHP Local File Inclusion), co może pozwolić na odczyt wrażliwych plików na serwerze.

W urządzeniu D-Link DCS-850L w wersji 1.02.09 wykryto podatność w funkcji uploadfirmware komponentu Firmware Update Service. Manipulacja argumentem DownloadFile prowadzi do path traversal. Atak musi pochodzić z sieci lokalnej. Exploit został opublikowany i może być wykorzystany. Podatność dotyczy tylko produktów, które nie są już wspierane przez producenta.

Podatność w PHPEMS do wersji 11.0 dotyczy nieznanej funkcji komponentu Purchase Request Handler. Manipulacja prowadzi do warunku wyścigu (race condition). Atak może być inicjowany zdalnie, ale wymaga wysokiego stopnia złożoności i jest trudny do wykorzystania. Exploit został ujawniony publicznie i może być użyty.

DVP-12SE11T zawiera podatność na zapis poza zakresem pamięci (out-of-bound memory write).

W systemie Simple Stock System 1.0 odkryto lukę, która dotyczy nieznanej funkcji w pliku /market/login.php. Manipulacja argumentem Username może prowadzić do wstrzyknięcia SQL.

Wykryto podatność w PHPEMS do wersji 11.0. Dotyczy nieznanej funkcji komponentu Coupon Handler. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie, ale złożoność ataku jest dość wysoka, a wykorzystanie uważane za trudne. Exploit jest publiczny i może być użyty.

Urządzenie DVP-12SE11T jest podatne na atak typu Denial of Service (DoS).

Wykryto podatność w CloudPanel Community Edition do wersji 2.5.1. Dotyczy nieznanej funkcji w pliku /admin/users komponentu HTTP Header Handler. Manipulacja argumentem Referer prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie. Aktualizacja do wersji 2.5.2 naprawia problem.

Zidentyfikowano słabość w urządzeniu Tenda M3 w wersji 1.0.0.13(4903), dotyczącą funkcji formSetRemoteInternetLanInfo w pliku /goform/setInternetLanInfo. Manipulacja argumentami portIp/portMask/portGateWay/portDns/portSecDns prowadzi do przepełnienia bufora na stercie.

Podatność DVP-12SE11T umożliwia obejście uwierzytelniania poprzez częściowe ujawnienie hasła.