Katalog podatności CVE

Podatność CVE-2025-67996 dotyczy deserializacji niezaufanych danych w wtyczce BoldThemes Nestin, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Nestin od n/a do poniżej 1.2.6.

Podatność CVE-2025-67995 dotyczy deserializacji niezaufanych danych w aplikacji LoftOcean PatioTime, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji PatioTime od n/a do poniżej 2.1.

W podatności CVE-2025-67979 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w wtyczce WesternDeal WPForms Google Sheet Connector w wersjach od n/a do 4.0.1. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu.

Podatność w pluginie Tassos Framework dotyczy obsługi żądań AJAX przez punkt wejścia com_ajax w Joomla. W pewnych warunkach wewnętrzna funkcjonalność frameworka może być wywoływana bez odpowiednich ograniczeń.

W podatności CVE-2025-10970 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w oprogramowaniu Talentics firmy Kolay Software Inc. Problem ten dotyczy wersji Talentics do 20022026.

LibreNMS to narzędzie do monitorowania sieci oparte na PHP/MySQL/SNMP, które w wersjach 25.12.0 i poniżej zawiera podatność na wstrzykiwanie SQL w punkcie końcowym ajax_table.php. Aplikacja nieprawidłowo sanitizuje lub parametryzuje dane wejściowe użytkownika podczas przetwarzania wyszukiwań adresów IPv6, co umożliwia atakującemu wstrzyknięcie dowolnych poleceń SQL.

Ghost to system zarządzania treścią oparty na Node.js. Wersje od 3.24.0 do 6.19.0 pozwalają nieautoryzowanym atakującym na wykonywanie dowolnych odczytów z bazy danych.

Slyde to program do tworzenia animowanych prezentacji z XML. W wersjach 0.0.4 i poniżej, Node.js automatycznie importuje pliki **/*.plugin.{js,mjs}, co pozwala na wykonanie dowolnego kodu przez złośliwe pakiety zawierające plik .plugin.js podczas instalacji lub użycia.

Podatność CVE-2025-30416 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu braku autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Podatność CVE-2025-30412 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu niewłaściwej autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Podatność CVE-2025-30411 dotyczy ujawnienia i manipulacji wrażliwymi danymi z powodu niewłaściwej autoryzacji. Affected są produkty Acronis Cyber Protect 16 (Linux, Windows) przed wersją 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) przed wersją 41800.

Brak autoryzacji w produktach Acronis Cyber Protect Cloud Agent oraz Acronis Cyber Protect 15 i 16 umożliwia ujawnienie i manipulację wrażliwymi danymi. Dotyczy to wersji przed określonymi buildami dla systemów Linux, macOS i Windows.

OpenClaw to osobisty asystent AI, który przed wersją 2026.2.15 miał problem z wstrzykiwaniem konfiguracji w narzędziu Docker, co mogło pozwolić na zastosowanie niebezpiecznych opcji Docker, umożliwiając ucieczkę z kontenera lub dostęp do danych hosta. W wersji 2026.2.15 wprowadzono blokady niebezpiecznych ustawień Docker w sandboxie oraz walidację schematu konfiguracji.

RustFly w wersji 2.0.0 zawiera podatność na wstrzykiwanie poleceń w swoim zdalnym mechanizmie kontroli UI, który akceptuje instrukcje zakodowane w formacie hex przez port UDP 5005 bez odpowiedniej sanitizacji. Atakujący mogą wysyłać spreparowane ładunki hex, które zawierają polecenia systemowe do wykonania dowolnych operacji na docelowym systemie.

W RUCKUS Network Director (RND) w wersjach poniżej 4.5.0.56, urządzenie OVA zawiera hardkodowane klucze SSH dla użytkownika postgres. Klucze te są identyczne we wszystkich wdrożeniach, co umożliwia atakującemu z dostępem do sieci uwierzytelnienie się przez SSH bez hasła.

W Ruckus Network Director (RND) w wersjach poniżej 4.5.0.54, urządzenie OVA zawiera zakodowane na stałe dane uwierzytelniające dla użytkownika bazy danych PostgreSQL. W domyślnej konfiguracji usługa PostgreSQL jest dostępna w sieci na porcie TCP 5432.

Podatność SQL Injection w Delinea Cloud Suite przed wersją 25.2 HF1 pozwala na wstrzyknięcie argumentów. Problem dotyczy niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL.

Podatność w Hyland Alfresco Transformation Service umożliwia nieuwierzytelnionym atakującym zdalne wykonanie kodu poprzez wstrzyknięcie argumentów w funkcji przetwarzania dokumentów.

Podatność w Hyland Alfresco Transformation Service umożliwia nieuwierzytelnionym atakującym przeprowadzenie ataku typu Server-Side Request Forgery (SSRF) poprzez funkcję przetwarzania dokumentów.

SDK Semantic Kernel firmy Microsoft, w wersjach przed 1.39.4, ma podatność na zdalne wykonanie kodu w funkcjonalności filtra `InMemoryVectorStore`. Problem został naprawiony w wersji `python-1.39.4`.