Katalog podatności CVE

Wtyczka Profitori dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w punkcie końcowym stocktend_object w wersjach od 2.0.6.0 do 2.1.1.3. Umożliwia to nieautoryzowanym atakującym zapis dowolnych ciągów do pola meta wp_capabilities użytkownika, co może prowadzić do podniesienia uprawnień istniejącego konta użytkownika lub nowo utworzonego do poziomu administratora.

Wtyczka PSW Front-end Login & Registration dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 1.12 włącznie, poprzez funkcję customer_registration(). Problem wynika z użycia słabego mechanizmu OTP o niskiej entropii w funkcji forget().

go-gh przed wersją 2.12.1 pozwalało atakującemu kontrolującemu GitHub Enterprise Server na wykonanie dowolnych komend na maszynie użytkownika poprzez podmianę adresów URL HTTP na lokalne ścieżki plików podczas przeglądania.

Polityka bezpieczeństwa na poziomie wiersza bazy danych w systemie Lovable do 2025-04-15 jest niewystarczająca, co pozwala zdalnym, nieautoryzowanym atakującym na odczyt lub zapis do dowolnych tabel bazy danych generowanych witryn. Dostawca kwestionuje tę podatność, twierdząc, że każdy klient platformy Lovable ponosi odpowiedzialność za ochronę danych swojej aplikacji.

Kontroler zamka WiFi Tinxy v1 RF został skonfigurowany do transmisji w otwartej sieci Wi-Fi, co umożliwia atakującym dołączenie do sieci bez uwierzytelnienia.

W bibliotece Brotli występuje przepełnienie bufora, które może prowadzić do awarii aplikacji. Dotyczy to wersji IO::Compress::Brotli przed 0.007, gdzie atakujący może kontrolować długość wejścia w żądaniu dekompresji 'one-shot'.

Panel przeciwpożarowy CS5000 jest podatny na atak z powodu twardo zakodowanego hasła, które działa na serwerze VNC i jest widoczne jako ciąg w binarnym pliku odpowiedzialnym za uruchamianie VNC. To hasło nie może być zmienione, co umożliwia każdemu, kto je zna, zdalny dostęp do panelu.

Panel pożarowy CS5000 jest podatny z powodu domyślnego konta, które istnieje na panelu. Mimo że możliwe jest jego zmienienie poprzez SSH, pozostało ono niezmienione na wszystkich zainstalowanych systemach, które zaobserwowano.

Instantel Micromate nie wymaga uwierzytelnienia na porcie konfiguracyjnym, co może umożliwić atakującemu wykonanie poleceń po podłączeniu się do urządzenia.

Problem ten został rozwiązany poprzez poprawę zarządzania stanem. Podatność została naprawiona w Safari 18.4, iOS 18.4, iPadOS 18.4, macOS Sequoia 15.4 oraz visionOS 2.4. Istnieje możliwość, że strona internetowa może obejść politykę tej samej domeny.

Podatność CVE-2025-48336 dotyczy deserializacji niezaufanych danych w wtyczce ThimPress Course Builder, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Course Builder od n/a do poniżej 3.6.6.

Podatność w modułach CPU serii MELSEC iQ-F firmy Mitsubishi Electric polega na niewłaściwej walidacji określonego indeksu, pozycji lub przesunięcia w danych wejściowych. Umożliwia to zdalnemu, nieautoryzowanemu atakującemu odczyt informacji z produktu oraz wywołanie stanu Denial-of-Service (DoS) w połączeniu MELSOFT lub zatrzymanie działania modułu CPU.

W routerze Tenda W18E w wersji 2.0 z oprogramowaniem 16.01.0.11 wykryto podatność umożliwiającą zdalne wykonanie dowolnego kodu. Luka znajduje się w funkcji edycji konta w module goform/setmodules.

Serwer MCP aws-mcp-server jest podatny na wstrzykiwanie poleceń. Atakujący może stworzyć komunikat, który po otwarciu przez klienta MCP uruchomi dowolne polecenia na systemie gospodarza.

Urządzenia są podatne na obejście uwierzytelniania z powodu wad w mechanizmie autoryzacji. Nieautoryzowany zdalny atakujący może wykorzystać tę słabość, przeprowadzając ataki brute-force w celu odgadnięcia prawidłowych poświadczeń lub stosując techniki kolizji MD5 do fałszowania hashy uwierzytelniających.

Brak uwierzytelnienia w krytycznej funkcji urządzeń pozwala nieautoryzowanemu atakującemu zdalnie wykonywać dowolne polecenia. Może to umożliwić nieautoryzowane przesyłanie lub pobieranie plików konfiguracyjnych, co prowadzi do pełnego kompromitacji systemu.

W podatności CVE-2025-23394 występuje problem z podążaniem za symbolicznymi linkami w cyrus-imapd na openSUSE Tumbleweed, co pozwala na eskalację uprawnień z cyrus do roota. Dotyczy to wersji cyrus-imapd przed 3.8.4-2.1.

Wtyczka eMagicOne Store Manager dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_image() we wszystkich wersjach do 1.2.5 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka eMagicOne Store Manager dla WooCommerce w WordPressie jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżek plików w funkcji delete_file() w wersjach do 1.2.5 włącznie. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.

Podatność na deserializację niezaufanych danych w AncoraThemes Kids Planet pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Kids Planet od n/a do 2.2.14 włącznie.