Katalog podatności CVE

W systemie Jinher OA w wersji 1.2 zidentyfikowano podatność, która dotyczy nieznanego kodu w pliku ProjectScheduleDelete.aspx. Manipulacja ta prowadzi do odniesienia do zewnętrznego bytu XML, co stwarza ryzyko ataku.

Wtyczka Work The Flow File Upload dla WordPressa do wersji 2.5.2 włącznie pozwala nieuwierzytelnionym atakującym na przesyłanie dowolnych plików z powodu braku walidacji typu pliku w plikach serwera i testowych jQuery-File-Upload-9.5.0. Może to umożliwić zdalne wykonanie kodu.

W jądrze Linuxa wykryto podatność w mechanizmie kolejkowania sieciowego (net/sched). Podczas operacji enqueue może dojść do nieoczekiwanego opróżnienia podrzędnej kolejki, co prowadzi do wywołania qlen_notify() i potencjalnego użycia po zwolnieniu (use-after-free) z powodu ponownej aktywacji klasy. Łatka rozwiązuje problem poprzez zapewnienie, że qdisc_tree_reduce_backlog zawsze powiadamia rodzica, gdy podrzędna klasa staje się pusta.

Wtyczka Integracja dla Google Sheets oraz Contact Form 7, WPForms, Elementor, Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.1.1 poprzez deserializację nieufnych danych wejściowych w funkcji verify_field_val(). Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektów PHP.

Wtyczka Integracja dla Pipedrive i Contact Form 7, WPForms, Elementor, Ninja Forms dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do i włącznie z 1.2.3 poprzez deserializację nieufnych danych wejściowych w funkcji verify_field_val(). Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

Zidentyfikowano niekompletne rozwiązanie dla CVE-2025-23084 w Node.js, które dotyczy nazw urządzeń Windows, takich jak CON, PRN i AUX. Podatność ta wpływa na użytkowników systemu Windows korzystających z API `path.join`.

Wersja V8 używana w Node.js v24.0.0 zmieniła sposób obliczania hashy dla ciągów znaków przy użyciu rapidhash. Ta implementacja ponownie wprowadza podatność HashDoS, ponieważ atakujący, który może kontrolować ciągi do zhashowania, może generować wiele kolizji hashy.

W systemie Food Ordering Review System w wersji 1.0 zidentyfikowano krytyczną podatność, która dotyczy nieznanego kodu w pliku /pages/signup_function.php. Manipulacja argumentem fname prowadzi do wstrzykiwania SQL, co może być wykorzystane zdalnie.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego studenta. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego kursu. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

W MRCMS v3.1.2 wykryto podatność na atak XSS w komponencie /admin/group/save.do. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora.

Wersja 2.51.0 Perplexity AI GPT-4 zawiera lukę, która umożliwia zdalnemu atakującemu uzyskanie poufnych informacji poprzez komponent tokena w udostępnionym URL czatu.

W systemie StudentManage v1.0 wykryto podatność na atak typu cross-site scripting (XSS) w module dodawania nowego nauczyciela. Umożliwia ona wstrzyknięcie złośliwego skryptu do strony.

W systemie BossSoft CRM w wersji 6.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku /crm/module/HNDCBas_customPrmSearchDtl.jsp. Manipulacja argumentem cstid prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

W oprogramowaniu Agorum core open w wersjach 11.9.2 i 11.10.1 odkryto podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy skrypt do żądania, który zostanie wykonany w przeglądarce ofiary.

Podatność SSRF w komponencie TunnelServlet w Agorum core open v11.9.2 i v11.10.1 umożliwia atakującym wymuszenie połączeń z dowolnymi zasobami wewnętrznymi i zewnętrznymi poprzez spreparowane żądanie. Może to prowadzić do ujawnienia wrażliwych danych.

W systemie StudentManage v1.0 wykryto podatność na wstrzykiwanie SQL w komponencie /admin/adminStudentUrl. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych.

Podatność w komponencie dynawebservice oprogramowania Agorum core open w wersjach 11.9.2 i 11.10.1 umożliwia nieuwierzytelnionym atakującym dostęp do dowolnych plików w systemie. Problem wynika z nieprawidłowej kontroli dostępu.

Podatność w Agorum core open w wersjach 11.9.2 i 11.10.1 wynika z nieprawidłowej kontroli dostępu. Umożliwia ona uwierzytelnionym atakującym eskalację uprawnień do poziomu administratora.