Katalog podatności CVE

W podatności CVE-2025-55575 występuje luka typu SQL Injection w SMM Panel w wersji 3.1, która umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez odpowiednio skonstruowane żądanie HTTP z parametrem action=service_detail.

W FoxCMS 1.2.6 w skrypcie /index.php/article występuje podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność CVE-2025-53119 dotyczy nieautoryzowanego i nieograniczonego przesyłania plików, co pozwala atakującemu na przesyłanie złośliwych binariów i skryptów na serwer.

Istnieje podatność na obejście uwierzytelniania, która pozwala nieautoryzowanemu atakującemu na kontrolowanie funkcji kopii zapasowych administratora. Może to prowadzić do kompromitacji haseł, sekretów oraz tokenów sesji aplikacji przechowywanych przez Unified PAM.

W komponentach JSONReader w repozytorium run-llama/llama_index, w wersji v0.12.37, występuje podatność na odmowę usługi. Problem ten wynika z niekontrolowanej rekurencji podczas parsowania głęboko zagnieżdżonych plików JSON, co może prowadzić do osiągnięcia maksymalnego limitu głębokości rekurencji w Pythonie.

System zarządzania szpitalem phpGuruKul 4.0 jest podatny na atak typu SQL Injection w pliku about-us.php poprzez parametr pagetitle.

System zarządzania szpitalem phpGurukul w wersji 4.0 jest podatny na atak typu SQL Injection poprzez parametr 'username' w pliku index.php.

System zarządzania szpitalem phpGuruKul w wersji 4.0 jest podatny na atak typu SQL Injection poprzez parametr docname w pliku add-doctor.php.

Zidentyfikowano podatność w kamerze CCTV FNKvision Y215 (adres IP 10.194.120.40), która dotyczy nieznanej funkcjonalności pliku /etc/passwd w komponencie oprogramowania układowego. Manipulacja tym plikiem prowadzi do uzyskania twardo zakodowanych poświadczeń.

W podatności CVE-2025-9379 zidentyfikowano problem w urządzeniu Belkin AX1800 w wersji firmware 1.1.00.016, dotyczący komponentu odpowiedzialnego za aktualizację oprogramowania. W wyniku tej podatności dochodzi do niewystarczającej weryfikacji autentyczności danych, co może prowadzić do zdalnych ataków.

Wtyczka Case Theme User dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.0.3. Problem wynika z niewłaściwego logowania użytkownika z danymi wcześniej zweryfikowanymi przez funkcję facebook_ajax_login_callback().

Wtyczka Bravis User dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.0.1. Problem wynika z niewłaściwego logowania użytkownika z danymi, które wcześniej zostały zweryfikowane przez funkcję facebook_ajax_login_callback().

Wtyczka Eventin dla WordPressa, obsługująca kalendarz wydarzeń, rezerwacje i bilety, jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do 4.0.37 włącznie, poprzez funkcję proxy_image. Umożliwia to nieautoryzowanym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wtyczka Wptobe-memberships dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji del_img_ajax_call() w wersjach do 3.4.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej usuwanie dowolnych plików na serwerze.

Wtyczka Simpler Checkout dla WordPressa jest podatna na obejście uwierzytelniania w wersjach od 0.7.0 do 1.1.9. Problem wynika z niewłaściwej weryfikacji tożsamości użytkownika przed zalogowaniem go jako administratora przez funkcję simplerwc_woocommerce_order_created().

Voltronic Power ViewPower w wersjach do 1.04-21353 oraz PowerShield Netguard przed 1.04-23292 pozwala zdalnemu atakującemu na konfigurację systemu poprzez nieokreślony interfejs webowy. Atakujący bez uwierzytelnienia może wprowadzać zmiany w systemie, w tym zmieniać hasło administratora interfejsu webowego oraz przeglądać i zmieniać konfigurację systemu.

Voltronic Power ViewPower w wersjach do 1.04-24215, ViewPower Pro do 2.0-22165 oraz PowerShield Netguard przed 1.04-23292 umożliwia zdalnemu atakującemu uruchomienie dowolnego kodu poprzez nieokreślony interfejs webowy związany z wykrywaniem wyłączania zarządzanego UPS-a. Atakujący nieautoryzowany może wykorzystać tę podatność do natychmiastowego uruchomienia dowolnego kodu, niezależnie od stanu lub obecności zarządzanego UPS-a.

W podatności CVE-2024-52786 w anji-plus AJ-Report do wersji 1.4.2 występuje luka umożliwiająca ominięcie uwierzytelnienia, co pozwala nieautoryzowanym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego URL.

MallChat v1.0-SNAPSHOT posiada lukę w autoryzacji, która pozwala na ominięcie procesu uwierzytelniania. Atakujący może wykorzystać tę podatność do uzyskania dostępu do API bez konieczności posiadania tokena.

Roo Code to autonomiczny agent kodowania wspierany przez AI, który w wersjach przed 3.25.5 nieprawidłowo obsługuje substytucję procesów oraz pojedyncze znaki ampersanda w logice analizy poleceń. Umożliwia to atakującemu wstrzykiwanie dowolnych poleceń do wykonania obok zamierzonego polecenia, jeśli użytkownik włączył automatyczne zatwierdzanie wykonania poleceń.