Katalog podatności CVE

Podatność SQL injection w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'uid' w funkcji eksportu. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do wykonania dowolnego kodu.

W systemie zarządzania treścią MetInfo (CMS) do wersji 8.1 występuje podatność typu Server-Side Request Forgery (SSRF), możliwa do osiągnięcia poprzez wstrzyknięcie zewnętrznej jednostki XML (XXE). Wadliwa logika analizy XML pozwala atakującemu na skonstruowanie złośliwej jednostki XML, która zmusza serwer do inicjowania żądania HTTP do dowolnego adresu sieciowego.

W runc (narzędzie CLI do uruchamiania kontenerów zgodnie ze specyfikacją OCI) w wersjach 1.2.7 i starszych, 1.3.0-rc.1 do 1.3.1, 1.4.0-rc.1 i 1.4.0-rc.2, nie jest wystarczająco weryfikowane, czy źródło bind-mount (np. /dev/null kontenera) jest prawdziwym i-node /dev/null. Umożliwia to ataki: dowolny mount gadget, prowadzący do ujawnienia informacji o hoście, DoS hosta, ucieczki z kontenera lub obejścia maskedPaths.

Problem z weryfikacją własności na stronie podglądu Virtual Desktop w Research and Engineering Studio (RES) na AWS przed wersją 2025.09 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na przeglądanie metadanych aktywnej sesji pulpitu innego użytkownika, w tym okresowych zrzutów ekranu pulpitu.

Podatność w oprogramowaniu sprzętowym KiloView Dual Channel 4k HDMI & 3G-SDI HEVC Video Encoder w wersji 1.20.0006 umożliwia zdalnemu atakującemu wywołanie odmowy usługi (DoS) poprzez komponent systemctrl API System/reFactory.

W Devolutions Server występuje problem z kontrolą dostępu, który pozwala użytkownikowi z rolą View-only na odzyskiwanie wrażliwych pól zagnieżdżonych trzeciego poziomu, takich jak niestandardowe wartości list haseł, co prowadzi do ujawnienia haseł. Dotyczy wersji 2025.3.2.0-2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.

W Devolutions Server występuje niewłaściwe zarządzanie uprawnieniami podczas obsługi ciasteczek pre-MFA, co pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na podszycie się pod inne konto poprzez odtworzenie ciasteczka pre-MFA. Nie omija to jednak weryfikacji MFA docelowego konta. Problem dotyczy wersji 2025.3.2.0 do 2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.

Złośliwie przygotowany plik, po wykonaniu na maszynie ofiary, może prowadzić do eskalacji uprawnień do NT AUTHORITY/SYSTEM z powodu niewystarczającej walidacji ładowanych binariów. Atakujący z lokalnym i niskim poziomem uprawnień mógłby to wykorzystać do wykonania kodu jako SYSTEM.

Podatność CVE-2025-6327 w King Addons dla Elementor umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji od n/a do 51.1.36.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce King Addons dla Elementor umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 51.1.36.

W podatności CVE-2025-64287 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy aplikacji Alloggio - Hotel Booking w wersjach od n/a do 1.8.

Podatność CVE-2025-64232 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w module Import from YML w wersjach od n/a do 3.1.17 włącznie.

Podatność CVE-2025-64198 dotyczy aplikacji Easy Social Share Buttons, która pozwala na atak typu Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do poniżej 10.7.1.

Wtyczka Contest Gallery (od ContestGallery developer) zawiera podatność typu Cross-Site Request Forgery w wersjach od n/a do 28.0.0. Podatność ta umożliwia atakującemu wykorzystanie mechanizmu CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka Effect Maker autorstwa anibalwainstein zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.2.1 włącznie.

Podatność CVE-2025-62076 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Simple Payment w wersjach od n/a do 2.4.6.

Podatność CVE-2025-62075 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w Simple Payment w wersjach od n/a do 2.4.6 włącznie.

W podatności CVE-2025-62074 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WPMobile.App w wersjach od n/a do 11.71.

Podatność CVE-2025-62067 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywie Elated-Themes Savory w wersjach od n/a do 2.5.

Podatność CVE-2025-62066 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Revolution od n/a do poniżej 2.5.8.