Katalog podatności CVE

Zidentyfikowano słabość w urządzeniu Tenda WH450 w wersji 1.0.0.18, która dotyczy nieznanej funkcji pliku /goform/onSSIDChange w komponencie obsługi żądań HTTP. Manipulacja argumentem ssid_index prowadzi do przepełnienia bufora na stosie.

Krytyczna podatność polegająca na obejściu uwierzytelniania w API platformy Ollama w wersjach do v0.12.3 włącznie. Wiele endpointów API jest dostępnych bez wymaganego uwierzytelnienia, co umożliwia zdalnym atakującym nieautoryzowane operacje zarządzania modelami.

Podatność polegająca na błędnej konfiguracji CORS w Dify v1.9.1 w endpointcie /console/api/system-features. Endpoint odzwierciedla dowolne nagłówki Origin i ustawia Access-Control-Allow-Credentials: true, co pozwala zewnętrznym domenom na uwierzytelnione żądania międzyorigin. Uwaga: dostawca kwestionuje tę podatność, argumentując, że żądania z poświadczeniami nie dają dodatkowego dostępu w porównaniu z żądaniami nieuwierzytelnionymi.

W Dify w wersji 1.9.1 występuje podatność związana z błędną konfiguracją CORS w punkcie końcowym /console/api/setup. Polityka CORS jest niebezpieczna, ponieważ odzwierciedla dowolny nagłówek Origin i umożliwia ustawienie Access-Control-Allow-Credentials: true, co pozwala na autoryzowane żądania z dowolnych zewnętrznych domen.

W urządzeniu Tenda WH450 w wersji 1.0.0.18 odkryto lukę bezpieczeństwa, która dotyczy nieznanej funkcji pliku /goform/wirelessRestart w komponencie obsługi żądań HTTP. Manipulacja argumentem GO prowadzi do przepełnienia bufora na stosie.

Podatność w routerze WODESYS WD-R608U (znanym również jako WDR122B V2.0 i WDR28) polegająca na braku walidacji parametru langGet w endpointcie adm.cgi, co pozwala złośliwemu atakującemu na wykonanie poleceń powłoki systemowej. Producent został powiadomiony, ale nie odpowiedział; przetestowano tylko wersję WDR28081123OV1.01.

W podatności CVE-2025-14860 występuje błąd use-after-free w komponencie API dostępu dla osób z niepełnosprawnościami. Problem ten został naprawiony w wersji Firefox 146.0.1.

Wada w procesie wiązania platformy chmurowej Govee i urządzeń pozwala zdalnemu atakującemu powiązać istniejące, online urządzenie Govee z kontem atakującego, co daje pełną kontrolę nad urządzeniem i usuwa je z konta prawowitego właściciela. Serwerowe API pozwala na skojarzenie urządzenia za pomocą zestawu identyfikatorów, które nie są kryptograficznie powiązane z sekretem pochodzącym z urządzenia. Podatność potwierdzono dla lampy Govee H6056 w wersji firmware 1.08.13, ale może dotyczyć innych urządzeń.

W podatności CVE-2025-66078 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w wtyczce Hotel Booking Lite, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji Hotel Booking Lite od n/a do 5.2.3 włącznie.

W podatności CVE-2025-66074 wtyczka WP Webhooks w Cozmoslabs umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co prowadzi do ataków typu Path Traversal. Problem ten dotyczy wersji WP Webhooks od n/a do 3.3.8 włącznie.

Podatność CVE-2025-64374 w motywie Motors od StylemixThemes pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wykorzystania złośliwych plików. Problem dotyczy wersji Motors od n/a do 5.6.81 włącznie.

Podatność CVE-2025-64233 dotyczy deserializacji niezaufanych danych w Codiqa od BoldThemes, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach Codiqa od n/a do poniżej 1.2.8.

Podatność CVE-2025-64231 dotyczy wtyczki RedefiningTheWeb WordPress Contact Form 7 PDF, Google Sheet & Database, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 3.0.0 włącznie.

Podatność CVE-2025-64227 dotyczy deserializacji niezaufanych danych w systemie fakturowania BoldGrid od Sprout Invoices, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 20.8.7 włącznie.

Podatność na deserializację niezaufanych danych w TieLabs Jannah umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Jannah od n/a do 7.6.0 włącznie.

W podatności CVE-2025-64188 w PenciDesign Soledad występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji Soledad od n/a do 8.6.9 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce CRM Perks WP Gravity Forms Salesforce (gf-salesforce-crmperks) do wersji 1.5.1 włącznie, umożliwiająca wstrzyknięcie obiektów (Object Injection).

Podatność na deserializację niezaufanych danych w wtyczce CRM Perks WP Gravity Forms HubSpot (gf-hubspot) do wersji 1.2.6 włącznie, umożliwiająca wstrzyknięcie obiektów (Object Injection).

Podatność na deserializację niezaufanych danych w wtyczce CRM Perks WP Gravity Forms Constant Contact (gf-constant-contact) do wersji 1.1.2 włącznie, umożliwiająca wstrzyknięcie obiektów (Object Injection).

Podatność na deserializację niezaufanych danych w WP Gravity Forms Zoho CRM i Bigin umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji do 1.2.9 włącznie.