Katalog podatności CVE

W podatności CVE-2025-9935 zidentyfikowano lukę w urządzeniu TOTOLINK N600R w wersji 4.3.0cu.7866_B20220506. Luka ta dotyczy funkcji sub_4159F8 w pliku /web_cste/cgi-bin/cstecgi.cgi, co może prowadzić do zdalnego wstrzyknięcia poleceń.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /admin/view-appointment.php. Manipulacja argumentem viewid prowadzi do wstrzykiwania SQL.

W systemie zarządzania salonem piękności PHPGurukul w wersji 1.1 odkryto lukę. Problem dotyczy nieznanej funkcjonalności pliku /admin/update-image.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem lid.

W systemie zarządzania salonem piękności 1000projects w wersji 1.0 wykryto podatność na zdalne ataki. Manipulacja argumentem 'mobnumber' w pliku /admin/contact-us.php prowadzi do możliwości wykonania ataku typu SQL injection.

Wtyczka Easy Timer dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.1, poprzez shortcode'y wtyczki. Problem wynika z niewystarczającego ograniczenia atrybutów shortcode'ów.

Wtyczka atec Debug dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w parametrze 'debug_path' we wszystkich wersjach do i włącznie z 1.2.22. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej usuwanie dowolnych plików na serwerze.

Wtyczka atec Debug dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.2.22 poprzez parametr 'custom_log'. Problem wynika z niewystarczającego oczyszczania podczas zapisywania ścieżki do niestandardowego logu.

W komponencie Vaadin Upload, gdy listener start jest używany do walidacji metadanych przychodzącego przesłania, możliwe jest obejście walidacji uploadu. Podatność dotyczy wersji Vaadin 7.0.0-7.7.47, 8.0.0-8.28.1, 14.0.0-14.13.0, 23.0.0-23.6.1 oraz 24.0.0-24.7.6.

Projekt langchain-ai/langchain, a konkretnie komponent EverNoteLoader, jest podatny na ataki XML External Entity (XXE) z powodu niebezpiecznego parsowania XML. Wersja dotknięta podatnością to 0.3.63, a problem wynika z użycia etree.iterparse() bez wyłączenia odniesień do zewnętrznych encji.

Wtyczka Make Connector dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej konfiguracji walidacji typów plików w funkcji 'upload_media' we wszystkich wersjach do 1.5.10 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Markdownify to serwer Model Context Protocol do konwersji różnych danych na Markdown. Wersje poniżej 0.0.2 zawierają podatność na wstrzykiwanie poleceń, spowodowaną niesanitarnym użyciem parametrów wejściowych w wywołaniu child_process.exec, co umożliwia atakującemu wstrzykiwanie dowolnych poleceń systemowych.

Soft Serve to samodzielny serwer Git do obsługi z linii poleceń. W wersjach 0.9.1 i poniżej, atakujący mogą tworzyć lub nadpisywać dowolne pliki z niekontrolowanymi danymi za pośrednictwem API SSH. Problem ten został naprawiony w wersji 0.10.0.

Podatność CVE-2025-2417 w Akinsoft e-Mutabakat polega na niewłaściwym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia obejście procesu uwierzytelniania. Problem dotyczy wersji e-Mutabakat od 2.02.06 do przed v2.02.06.

Podatność CVE-2025-2411 w Akinsoft TaskPano polega na niewłaściwym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia obejście procesu uwierzytelniania. Problem dotyczy wersji TaskPano od s1.06.04 do przed v1.06.06.

Podatność CVE-2024-13073 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft TaskPano, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji s1.06.04 oprogramowania TaskPano.

Podatność CVE-2024-13071 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Akinsoft e-Mutabakat, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji e-Mutabakat od 2.02.05 do przed v2.02.06.

W systemie zarządzania podróżami projectworlds w wersji 1.0 odkryto lukę bezpieczeństwa. Problem dotyczy nieznanej funkcji w pliku /viewcategory.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem t1.

Zidentyfikowano podatność w systemie zarządzania podróżami projectworlds w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /viewpackage.php, która umożliwia wstrzyknięcie SQL poprzez manipulację argumentem t1.

XWiki Platform w wersjach od 4.2-milestone-2 do 16.10.6 umożliwia dostęp do plików konfiguracyjnych przez endpointy jsx i sx. Możliwe jest odczytanie plików konfiguracyjnych za pomocą specjalnie skonstruowanych adresów URL, np. `http://localhost:8080/bin/ssx/Main/WebHome?resource=../../WEB-INF/xwiki.cfg&minify=false`. Podatność została naprawiona w wersji 16.10.7.

W systemie zarządzania podróżami projectworlds w wersji 1.0 zidentyfikowano podatność, która dotyczy nieznanej funkcji w pliku /viewsubcategory.php. Manipulacja argumentem t1 prowadzi do wstrzykiwania SQL, co może być przeprowadzone zdalnie.