Katalog podatności CVE

Wtyczka Simple User Capabilities dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji suc_submit_capabilities() we wszystkich wersjach do i włącznie z 1.0. Umożliwia to nieautoryzowanym atakującym podniesienie roli dowolnego konta użytkownika do administratora.

Wtyczka CE21 Suite dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.3.1 włącznie, poprzez plik dziennika. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym poświadczeń uwierzytelniających.

Wtyczka CE21 Suite dla WordPressa jest podatna na nieautoryzowaną aktualizację ustawień wtyczki z powodu braku sprawdzenia uprawnień w akcji AJAX wp_ajax_nopriv_ce21_single_sign_on_save_api_settings w wersjach od 2.2.1 do 2.3.1. Umożliwia to nieautoryzowanym atakującym aktualizację ustawień API wtyczki, w tym tajnego klucza używanego do uwierzytelniania.

lighttpd 1.4.80 nieprawidłowo scala pola trailer z nagłówkami po parsowaniu żądania HTTP. Takie zachowanie może być wykorzystane do przeprowadzenia ataków HTTP Header Smuggling. Udana eksploatacja może pozwolić na obejście reguł kontroli dostępu, wstrzyknięcie niebezpiecznych danych do logiki backendu ufającej nagłówkom żądań oraz wykonanie ataków HTTP Request Smuggling w niektórych warunkach.

W kamerach Geutebruck G-Cam E-Series odkryto nieautoryzowaną podatność na SQL Injection poprzez parametr `Group` w skrypcie `/uapi-cgi/viewer/Param.cgi`. Potwierdzono to na kamerze EFD-2130 działającej na wersji oprogramowania 1.12.0.19.

Wtyczka Doccure Core dla WordPressa jest podatna na eskalację uprawnień w wersjach do, ale nie włączając, 1.5.4. Problem wynika z możliwości, jaką mają użytkownicy rejestrujący nowe konta, aby ustawić własną rolę lub dostarczyć pole 'user_type'.

Podatność CVE-2025-0987 dotyczy projektu CVLand firmy CB Project Ltd. Co. i polega na obejściu autoryzacji poprzez wstrzykiwanie parametrów kontrolowanych przez użytkownika. Problem ten występuje w wersjach CVLand od 2.1.0 do 20251103.

Plik /etc/timezone może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji strefy czasowej. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Plik /etc/avahi/services/z9.service może zostać zapisany w sposób dowolny, co pozwala na niekontrolowaną modyfikację konfiguracji usługi Avahi. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Nieprawidłowe działanie interfejsu Web UI podczas ustawiania nieoczekiwanego locale przez API. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Wiele urządzeń BLU-IC2 i BLU-IC4 (do wersji 1.19.5) współdzieli te same sekrety dla usługi SDKSocket (TCP/5000).

Wtyczka Tablesome Table – Contact Form DB dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_featured_image_from_external_url() w wersjach do 1.1.32 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Post SMTP – Kompletny rozwiązanie SMTP z logami, alertami, kopią zapasową SMTP i aplikacją mobilną dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji __construct we wszystkich wersjach do i włącznie z 3.6.0. Umożliwia to nieautoryzowanym atakującym odczyt dowolnych zarejestrowanych e-maili, w tym e-maili z linkami do resetowania haseł.

Nieprawidłowa kontrola dostępu w punkcie końcowym realtime.cgi urządzeń Deep Sea Electronics DSE855 w wersjach od 1.1.0 do 1.1.26 umożliwia atakującym uzyskanie dostępu do panelu administracyjnego oraz pełnej kontroli nad urządzeniem.

Brakujące nagłówki bezpieczeństwa. Problem dotyczy BLU-IC2 i BLU-IC4 do wersji 1.19.5.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 mają wyłączoną weryfikację certyfikatu serwera poczty e-mail. Może to umożliwić atakującemu podszycie się pod serwer poczty.

Urządzenia BLU-IC2 i BLU-IC4 stosują niewystarczającą politykę haseł. Problem dotyczy wersji do 1.19.5 włącznie.

W podatności CVE-2025-6520 w technologii Abis BAPSIS występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji BAPSIS przed 202510271606.

Wtyczka King Addons for Elementor dla WordPressa jest podatna na eskalację uprawnień w wersjach od 24.12.92 do 51.1.14. Problem wynika z niewłaściwego ograniczenia ról, które użytkownicy mogą rejestrować.