Katalog podatności CVE

W systemie zarządzania podróżami projectworlds w wersji 1.0 odkryto podatność, która dotyczy nieznanego przetwarzania pliku /detail.php. Manipulacja argumentem pid prowadzi do wstrzykiwania SQL.

Fuji Electric FRENIC-Loader 4 jest podatny na deserializację nieufnych danych podczas importowania pliku przez określone okno, co może umożliwić atakującemu wykonanie dowolnego kodu.

W systemie zarządzania podróżami projectworlds w wersji 1.0 odkryto podatność, która dotyczy nieznanego kodu w pliku /enquiry.php. Manipulacja argumentem t2 prowadzi do wstrzyknięcia SQL.

Podatność w interfejsie zarządzania opartym na sieci Web w Cisco Unified Communications Manager IM & Presence Service (Unified CM IM&P) umożliwia nieuwierzytelnionemu zdalnemu atakującemu przeprowadzenie ataku typu cross-site scripting (XSS) na użytkownika interfejsu. Podatność wynika z braku odpowiedniej walidacji danych wprowadzanych przez użytkownika. Atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia spreparowanego linku, co pozwala na wykonanie dowolnego kodu skryptu w kontekście interfejsu lub dostęp do wrażliwych informacji przeglądarki.

Niekompletna walidacja atrybutów dunder umożliwia atakującemu ucieczkę z lokalnego środowiska wykonawczego Pythona, które jest zabezpieczone przez smolagents. Atak wymaga wstrzyknięcia polecenia, aby oszukać agenta do stworzenia złośliwego kodu.

W Google Chrome przed wersją 140.0.7339.80 występuje niewłaściwa implementacja w rozszerzeniach, która pozwala zdalnemu atakującemu obejść politykę bezpieczeństwa treści (CSP) za pomocą spreparowanej strony HTML.

Zidentyfikowano podatność w systemie zarządzania salonem piękności 1000projects w wersji 1.0. Problem dotyczy nieznanej funkcji w pliku /admin/bwdates-reports-details.php, gdzie manipulacja argumentami fromdate/todate prowadzi do wstrzyknięcia SQL.

W HCL Compass występuje podatność, która może umożliwić atakującemu uzyskanie nieautoryzowanego dostępu do bazy danych.

Podatność CVE-2025-58644 dotyczy deserializacji niezaufanych danych w aplikacji LTL Freight Quotes - TQL Edition, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.2.6 włącznie.

Podatność CVE-2025-58643 dotyczy deserializacji niezaufanych danych w aplikacji LTL Freight Quotes – Daylight Edition, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 2.2.7 włącznie.

Podatność CVE-2025-58642 dotyczy deserializacji niezaufanych danych w aplikacji LTL Freight Quotes – Day & Ross Edition, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 2.1.11 włącznie.

Wtyczka WordPress Contact Form By Mega Forms (wersje do 1.6.1) ma brak mechanizmu autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność CVE-2025-58637 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten dotyczy wersji immonex Kickstart od n/a do 1.11.6.

Wtyczka WordPress PDF for WPForms do wersji 6.2.1 zawiera podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce ofiary.

Wtyczka WordPress Tooltipy do wersji 5.5.6 zawiera podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce ofiary.

W podatności CVE-2025-58608 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w BuddyDev MediaPress. Problem dotyczy wersji MediaPress od n/a do 1.5.9.1.

W podatności CVE-2025-58604 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji WPFunnels Mail Mint. Problem dotyczy wersji Mail Mint od n/a do 1.18.5 włącznie.

Podatność w pluginie wpForo Forum umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy zabezpieczeń kontroli dostępu. Problem dotyczy wersji do 2.4.6 włącznie.

Wtyczka Brizy zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.7.12 włącznie.