Katalog podatności CVE

Podatność CVE-2025-60213 dotyczy deserializacji niezaufanych danych w Whitebox-Studio Scape, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Scape od n/a do 1.5.13 włącznie.

Podatność deserializacji niezaufanych danych w wtyczce Everest Forms - Frontend Listing (wersje do 1.0.5 włącznie) umożliwia wstrzyknięcie obiektu. Może to prowadzić do zdalnego wykonania kodu.

Podatność CVE-2025-60209 dotyczy deserializacji niezaufanych danych w wtyczce CRM Perks Connector dla Gravity Forms i Google Sheets, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.2.6.

W podatności CVE-2025-60206 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w Beplusthemes Alone. Problem ten dotyczy wersji Alone od n/a do 7.8.3 włącznie.

Podatność na deserializację niezaufanych danych w Noisa rascals umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Noisa od n/a do 2.6.0.

W podatności CVE-2025-59557 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w dodatkach Learts Addons. Problem ten dotyczy wersji Learts Addons od n/a do poniżej 1.7.5.

Podatność CVE-2025-59007 dotyczy deserializacji niezaufanych danych w dodatku TF Woo Product Grid dla Elementora, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach dodatku od n/a do 1.0.1.

Podatność CVE-2025-58963 w 7oroof Medcity umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Medcity od n/a do poniżej 1.1.9.

W Esri ArcGIS Server w wersjach 11.3, 11.4 i 11.5 na Windows, Linux i Kubernetes występuje podatność SQL Injection. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia SQL poprzez określoną operację ArcGIS Feature Service.

Podatność CVE-2025-52758 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w aplikacji Zippy firmy Gesundheit Bewegt GmbH. Umożliwia to przesyłanie złośliwych plików, co może prowadzić do poważnych zagrożeń bezpieczeństwa.

Podatność CVE-2025-49931 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w Crocoblock JetSearch, co pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem ten dotyczy wersji JetSearch od n/a do 3.5.10 włącznie.

Podatność CVE-2025-49915 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia kodu SQL w aplikacji Cozy Vision SMS Alert Order Notifications w wersjach od n/a do 3.8.5. Wykorzystanie tej luki może umożliwić atakującym manipulację bazą danych.

Podatność CVE-2025-49901 dotyczy mechanizmu uwierzytelniania w Simple Link Directory w quantumcloud, który pozwala na obejście uwierzytelnienia poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji Simple Link Directory od n/a do poniżej 14.8.1.

Podatność CVE-2025-49380 dotyczy deserializacji niezaufanych danych w wtyczce wpinstinct WooCommerce Vehicle Parts Finder, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.7 włącznie.

Podatność CVE-2025-49060 w CMSSuperHeroes Wastia umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Wastia od n/a do poniżej 1.1.3.

Podatność CVE-2025-48106 w CMSSuperHeroes Clanora umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na wykorzystanie złośliwych plików. Problem dotyczy wersji Clanora od n/a do poniżej 1.3.1.

Podatność w TM2 Monitoring v3.04 umożliwia ominięcie uwierzytelniania oraz ujawnienie haseł w postaci jawnego tekstu.

Protokół komunikacyjny w Ghost Robotics Vision 60 v0.27.2 może pozwolić atakującemu na wysyłanie poleceń do robota z zewnętrznej stacji atakującej, podszywając się pod stację kontrolną (tablet) i uzyskując nieautoryzowaną pełną kontrolę nad robotem. Brak szyfrowania i mechanizmów uwierzytelniania w protokole komunikacyjnym pozwala atakującemu na przechwycenie legalnego ruchu między robotem a kontrolerem, replikację i wysłanie dowolnego ważnego polecenia z dowolnego komputera lub urządzenia. Protokół komunikacyjny oparty jest na MAVLink, szeroko udokumentowanym protokole, co zwiększa prawdopodobieństwo ataku. Istnieją dwie metody zdalnego połączenia z robotem: Wi-Fi i 4G/LTE.

Metoda SOAP importFile jest podatna na atak typu traversal katalogu. Nieautoryzowany zdalny atakujący może obejść ograniczenia ścieżki i przesyłać pliki do dowolnych lokalizacji.

Podatność w produkcie Oracle Marketing w Oracle E-Business Suite (komponent: Marketing Administration) w wersjach 12.2.3–12.2.14. Łatwo eksploatowalna podatność pozwala nieuwierzytelnionemu atakującemu z dostępem sieciowym przez HTTP przejąć kontrolę nad Oracle Marketing (CVSS 9.8).