Katalog podatności CVE

W projekcie Iqbolshoh php-business-website do commit 10677743a8dfc281f85291a27cf63a0bce043c24 wykryto podatność w pliku admin/contact.php. Manipulacja argumentem twitter prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt używa modelu ciągłych aktualizacji, więc brak konkretnych wersji. Dostawca nie odpowiedział na zgłoszenie.

W oprogramowaniu Bdtask Flight Booking Software do wersji 3.1 wykryto podatność w module Package Information Module, w pliku /b2c/package-information. Manipulacja danymi prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w Bdtask Flight Booking Software do wersji 3.1. Dotyczy nieznanej funkcji w pliku /admin/transaction/deposit komponentu Deposit Handler, co umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W systemie zakupów online projectworlds w wersji 1.0 znaleziono lukę, która dotyczy nieznanej funkcji w pliku /login_submit.php. Manipulacja argumentem keywords może prowadzić do wstrzyknięcia SQL.

Wykryto podatność w Tenda O3 w wersji 1.0.0.10(2478), która dotyczy funkcji SetValue/GetValue w pliku /goform/sysAutoReboot. Manipulacja argumentem enable prowadzi do przepełnienia bufora na stosie.

W Tenda O3 w funkcji SetValue/GetValue pliku /goform/setVlanConfig stwierdzono podatność na przepełnienie bufora oparte na stosie, spowodowaną manipulacją argumentem lan. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Zidentyfikowano słabość w Tenda O3 w wersji 1.0.0.10(2478), która dotyczy funkcji SetValue/GetValue w pliku /goform/setNetworkService. Manipulacja argumentem upnpEn prowadzi do przepełnienia bufora na stosie.

W urządzeniu Tenda O3 w wersji 1.0.0.10(2478) odkryto lukę bezpieczeństwa. Problem dotyczy funkcji SetValue/GetValue w pliku /goform/setDmzInfo, gdzie manipulacja argumentem dmzIP prowadzi do przepełnienia bufora na stosie.

Motyw Entrada (od Waituk) zawiera podatność typu Cross-Site Request Forgery w wersjach od n/a do 5.7.7. Podatność ta umożliwia atakującemu wykorzystanie mechanizmu CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Podatność typu Stored XSS (przechowywany skrypt między witrynami) w Ultimate Addons for WPBakery Page Builder (ultimate_vc_addons) od Brainstorm_Force. Problem dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 3.21.1 (bez 3.21.1).

W urządzeniu Tenda O3 1.0.0.10(2478) wykryto podatność w funkcji SetValue/GetValue w pliku /goform/AdvSetLanip. Manipulacja argumentem lanIp prowadzi do przepełnienia bufora na stosie. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W podatności CVE-2025-12209 zidentyfikowano problem w urządzeniu Tenda O3 w wersji 1.0.0.10(2478). Manipulacja argumentem dhcpEn w funkcji SetValue/GetValue w pliku /goform/setDhcpConfig może prowadzić do przepełnienia bufora na stosie.

W systemie zarządzania wynajmem nieruchomości SourceCodester Best House Rental Management System w wersji 1.0 odkryto podatność. Dotyczy ona funkcji login2 w pliku /admin_class.php, gdzie manipulacja argumentem Username prowadzi do wstrzyknięcia SQL.

W givanz Vvveb do wersji 1.0.7.3 zidentyfikowano podatność path traversal w funkcji sanitizeFileName w pliku system/functions.php komponentu Code Editor. Manipulacja argumentem File pozwala na dostęp do plików poza dozwolonym katalogiem. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka Slider Templates dla WordPressa (wersje do 1.0.3) zawiera podatność typu Server-Side Request Forgery (SSRF). Pozwala ona atakującemu na wymuszenie na serwerze wykonania żądań do dowolnych zasobów sieciowych.

Wtyczka Builderall Builder for WordPress (builderall-cheetah-for-wp) jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka dotyczy wersji od n/a do <= 3.0.1.

Podatność typu Cross-Site Request Forgery (CSRF) w FanBridge pozwala na przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji FanBridge signup od n/a do 0.6 włącznie.

Podatność typu Stored XSS w Simple Pull Quote (simple-pull-quote) autorstwa llamaman. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 1.6.3 włącznie.

Podatność typu Stored XSS w WP AdCenter (wpadcenter) autorstwa WPeka. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 2.6.1 włącznie.

Podatność typu Stored XSS w Posts By Tag (posts-by-tag) autorstwa Sudar Muthu. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 3.2.1 włącznie.