Katalog podatności CVE

W podatności CVE-2025-58215 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku. Problem dotyczy wersji Ziston od n/a do poniżej 1.4.5.

W podatności CVE-2025-54709 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia pliku. Problem ten dotyczy wersji Sala od n/a do 1.1.6.

Adobe Experience Manager w wersjach 6.5.23.0 i wcześniejszych jest podatny na podatność Server-Side Request Forgery (SSRF), która może prowadzić do obejścia mechanizmów bezpieczeństwa. Atakujący z niskimi uprawnieniami może manipulować żądaniami po stronie serwera i obejść kontrolę bezpieczeństwa, uzyskując nieautoryzowany dostęp do odczytu.

Podatność CVE-2025-53303 dotyczy deserializacji niezaufanych danych w ThemeMove Core, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji ThemeMove Core od n/a do 1.4.2 włącznie.

Nieprawidłowa kontrola dostępu w Azure Windows Virtual Machine Agent umożliwia autoryzowanemu atakującemu podniesienie uprawnień lokalnie.

Podatność typu Server-Side Request Forgery (SSRF) w FWDesign Ultimate Video Player fwduvp umożliwia atakującym wysyłanie złośliwych żądań do serwera. Problem ten dotyczy wersji Ultimate Video Player od n/a do 10.1 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Constant Contact dla WordPress umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 4.1.1.

Podatność CVE-2025-47695 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Blog Designer PRO od n/a do 3.4.7.

W podatności CVE-2025-47694 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Blog Designer PRO w wersjach od n/a do 3.4.7.

Podatność CVE-2025-47579 dotyczy deserializacji niezaufanych danych w wtyczce ThemeGoods Photography, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Photography od n/a do 7.7.2 włącznie.

Podatność CVE-2025-47571 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten występuje w wtyczce Super Store Finder w wersjach od n/a do poniżej 7.8.

W podatności CVE-2025-47570 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WooCommerce Photo Reviews w wersjach od n/a do 1.3.13.

W podatności CVE-2025-47569 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WooCommerce Ultimate Gift Card w wersjach od n/a do 2.9.6.

Podatność CVE-2025-32689 dotyczy niewłaściwej walidacji określonej ilości w danych wejściowych w wtyczce WP SmartPay. Problem ten dotyczy wersji WP SmartPay od n/a do 2.8.2 włącznie.

W mechanizmie odzyskiwania hasła w Hossein Material Dashboard występuje słabość, która może być wykorzystana do resetowania zapomnianego hasła. Problem ten dotyczy wersji Material Dashboard od n/a do 1.4.6 włącznie.

W Ivanti Endpoint Manager przed wersjami 2024 SU3 SR1 i 2022 SU8 SR2 występuje niewystarczająca walidacja nazw plików, co pozwala zdalnemu nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu. Wymagana jest interakcja użytkownika.

K7RKScan.sys w wersji 23.0.0.10, będący częścią pakietu K7 Security Anti-Malware, pozwala użytkownikowi z uprawnieniami administratora na wysyłanie spreparowanych żądań IOCTL w celu zakończenia procesów chronionych przez implementację zewnętrzną. Problem wynika z niewystarczającej walidacji wywołującego w obsłudze IOCTL sterownika.

Podatność Cross Site Scripting (XSS) w YesWiki w wersji 4.54 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w polu konfiguracji meta robots.

W usłudze internetowej OpenMessaging w TecCom TecConnect 4.1 występuje podatność na ślepą iniekcję XML External Entity (XXE), która pozwala nieautoryzowanemu atakującemu na wykradanie dowolnych plików na serwer kontrolowany przez atakującego. TecConnect 4.1 uznawany jest za produkt, którego wsparcie zakończyło się w grudniu 2023 roku.

Interfejs administracyjny HTTP punktu dostępowego Bluetooth Amp’ed RF BT-AP 111 nie posiada funkcji uwierzytelniania, co umożliwia nieautoryzowany dostęp każdemu, kto ma dostęp do sieci.