Katalog podatności CVE

Urządzenia AudioCodes Fax Server i Auto-Attendant IVR do wersji 2.6.23 włącznie zawierają komponent administracyjny F2MAdmin z nieuwierzytelnionym endpointem do zarządzania skryptami. Akcja saveScript zapisuje dane dostarczone przez atakującego bezpośrednio do pliku po stronie serwera z uprawnieniami konta usługi webowej, które na Windows działa jako NT AUTHORITY\SYSTEM. Zdalny, nieuwierzytelniony atakujący może zapisywać dowolne pliki w katalogach dostępnych przez web i następnie je wykonywać.

Wykryto podatność w Tenda CH22 w wersji 1.0.0.1, która dotyczy funkcji formWrlExtraGet w pliku /goform/WrlExtraGet. Manipulacja argumentem chkHz prowadzi do przepełnienia bufora, co umożliwia zdalne wykorzystanie tej podatności.

Urządzenie Itel DAB Encoder (IDEnc build 25aec8d) jest podatne na obejście uwierzytelniania z powodu nieprawidłowej walidacji tokenów JWT. Atakujący może użyć ważnego tokenu JWT z jednego urządzenia, aby uzyskać dostęp administracyjny do innych urządzeń z tym samym oprogramowaniem, nawet przy różnych hasłach i sieciach.

Urządzenia Axel Technology StreamerMAX MK II (wersje oprogramowania 0.8.5 do 1.0.3) są podatne na złamanie kontroli dostępu z powodu braku uwierzytelniania na punkcie końcowym /cgi-bin/gstFcgi.fcgi. Nieuwierzytelnieni zdalni atakujący mogą wyświetlać konta użytkowników, tworzyć nowych administratorów, usuwać użytkowników i modyfikować ustawienia systemowe.

Urządzenia Axel Technology puma (wersje oprogramowania 0.8.5 do 1.0.3) są podatne na złamanie kontroli dostępu z powodu braku uwierzytelniania na punkcie końcowym /cgi-bin/gstFcgi.fcgi. Nieuwierzytelnieni zdalni atakujący mogą wyświetlać konta użytkowników, tworzyć nowych administratorów, usuwać użytkowników i modyfikować ustawienia systemowe.

Urządzenia Axel Technology WOLF1MS i WOLF2MS (wersje oprogramowania 0.8.5 do 1.0.3) są podatne na złamanie kontroli dostępu z powodu braku uwierzytelniania na punkcie końcowym /cgi-bin/gstFcgi.fcgi. Nieuwierzytelnieni zdalni atakujący mogą wyświetlać konta użytkowników, tworzyć nowych administratorów, usuwać użytkowników i modyfikować ustawienia systemowe.

Podatność CVE-2025-11963 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w StarCities, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach przed 1.1.61.

Podatność CVE-2025-0421 dotyczy niewłaściwego ograniczenia renderowanych warstw interfejsu użytkownika lub ramek w oprogramowaniu Shopside firmy Shopside Software Technologies Inc. Problem ten występuje w wersji Shopside do 05022025, umożliwiając wykorzystanie nakładek iFrame.

Starsze oprogramowanie układowe urządzeń Vivotek używa domyślnych poświadczeń dla kont root i użytkownika.

W systemie zarządzania Webpack firmy Eksagate Electronic Engineering and Computer Industry Trade Inc. występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji systemu do 20251119.

W kodzie codehub666 94list zidentyfikowano lukę bezpieczeństwa w funkcji Login w pliku /function.php. Wykorzystanie tej luki prowadzi do ataku typu SQL injection, który może być przeprowadzony zdalnie.

Wtyczka Code Snippets dla WordPressa jest podatna na wstrzykiwanie kodu PHP we wszystkich wersjach do 3.9.1 włącznie. Problem wynika z użycia funkcji extract() na atrybutach shortcode kontrolowanych przez atakującego, co pozwala na nadpisanie zmiennej `$filepath` i wykonanie dowolnego kodu PHP na serwerze.

Wtyczka Giveaways and Contests by RafflePress dla WordPressa jest podatna na ataki typu Stored Cross-Site Scripting w wersjach do 1.12.19 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WP Import – Ultimate CSV XML Importer dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 7.33.1. Problem wynika z deserializacji niezaufanych danych dostarczanych za pomocą importu plików CSV w funkcji import_single_post_as_csv w pliku SingleImportExport.php.

Wtyczka Community Events dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'dayofyear' we wszystkich wersjach do i włącznie z 1.5.4. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka WavePlayer dla WordPressa w wersjach przed 3.8.0 nie posiada autoryzacji w akcji AJAX oraz nie weryfikuje pliku, który ma być skopiowany lokalnie. To umożliwia nieautoryzowanym użytkownikom przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu (RCE).

Gdy usługa ABP i AES jest zainstalowana w katalogu zapisywalnym przez nieuprzywilejowanych użytkowników, atakujący może podmienić lub umieścić bibliotekę DLL o tej samej nazwie co ładowana przez usługę. Po ponownym uruchomieniu usługi złośliwa biblioteka DLL jest ładowana i wykonywana w kontekście konta LocalSystem, co prowadzi do nieautoryzowanego wykonania kodu z podwyższonymi uprawnieniami.

Emby Server przed wersją 4.8.1.0 i przed wersją Beta 4.9.0.0-beta pozwala złośliwemu użytkownikowi na wysłanie żądania uwierzytelnienia z manipulowaną wartością X-Emby-Client, która jest dodawana do sekcji urządzeń w panelu administracyjnym bez sanityzacji.

Urządzenie Itel DAB MUX (IDMUX build c041640a) jest podatne na obejście uwierzytelniania z powodu nieprawidłowej walidacji tokenów JWT. Atakujący może użyć ważnego tokenu JWT z jednego urządzenia, aby uzyskać dostęp administracyjny do innych urządzeń z tym samym oprogramowaniem, nawet przy różnych hasłach i sieciach.

Urządzenie Itel DAB Gateway (IDGat build c041640a) jest podatne na obejście uwierzytelniania z powodu nieprawidłowej walidacji tokenów JWT. Atakujący może użyć ważnego tokenu JWT z jednego urządzenia, aby uzyskać dostęp administracyjny do innych urządzeń z tym samym oprogramowaniem, nawet przy różnych hasłach i sieciach.