Katalog podatności CVE

Urządzenia DLINK DIR-825 REVB 2.03 mają podatność na wstrzykiwanie poleceń systemowych w interfejsie CGl apc_client_pin.cgi. Umożliwia to zdalnym atakującym wykonywanie dowolnych poleceń poprzez parametr 'wps_pin' przekazywany do binarnego pliku apc_client_pin.cgi za pomocą żądania POST.

W podatności CVE-2025-24664 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji LTL Freight Quotes – Worldwide Express Edition w wersjach od n/a do 5.0.20.

W podatności CVE-2025-24612 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Ihor Kit Shipping dla Nova Poshta. Problem ten dotyczy wersji Shipping for Nova Poshta od n/a do 1.19.6 włącznie.

Podatność CVE-2025-24601 dotyczy deserializacji niezaufanych danych w FundPress, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji FundPress od n/a do 2.0.6 włącznie.

Podatność CVE-2025-24650 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Themefic Tourfic, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Tourfic od n/a do 2.15.3 włącznie.

W One Identity Identity Manager w wersjach 9.x przed 9.3 występuje podatność typu insecure direct object reference (IDOR), która umożliwia eskalację uprawnień. Dotyczy to wyłącznie instalacji lokalnych.

Oprogramowanie Beta10 nie zapewnia odpowiedniej kontroli autoryzacji w wielu obszarach aplikacji. Ta luka może umożliwić złośliwemu użytkownikowi, bez uwierzytelnienia, dostęp do prywatnych obszarów oraz obszarów przeznaczonych dla innych ról.

W aplikacji Logitime WebClock w wersjach do 5.43.0 występuje podatność na atak typu SQL Injection w domyślnej konfiguracji. Umożliwia to nieautoryzowanemu użytkownikowi wykonanie dowolnego kodu na serwerze bazy danych.

W jądrze Linux w module netfilter (nf_set_pipapo) występuje błąd w inicjalizacji mapy wypełnienia podczas wyszukiwania w zestawach. Początkowy bufor jest inicjowany na wszystkie jedynki, ale ograniczenie do rozmiaru pierwszego pola jest pomijane, co powoduje wyciek bitów do kolejnych rund i błędne wyniki dopasowania dla zestawów, gdzie pierwsze pole nie jest największe.

Zidentyfikowano problem w Fleet Server, gdzie polityki Fleet, które mogą zawierać wrażliwe informacje, były rejestrowane na poziomach logowania INFO i ERROR. Rodzaj wrażliwych informacji w dużej mierze zależy od aktywowanych integracji.

Podatność CVE-2025-23914 dotyczy deserializacji niezaufanych danych w Muzaara Google Ads Report, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Muzaara Google Ads Report od n/a do 3.1 włącznie.

W oprogramowaniu Synnefo Internet Management Software (IMS) w wersji 2023 i wcześniejszych występuje podatność na wstrzykiwanie SQL. Problem ten wynika z niewłaściwej walidacji danych wejściowych w określonym parametrze punktu końcowego API, co pozwala atakującemu manipulować zapytaniami SQL za pomocą spreparowanego wejścia.

Podatność CVE-2025-23953 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Scriptonite, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy plików użytkowników w wersjach od n/a do 2.4.2.

Podatność CVE-2025-23942 dotyczy wtyczki WP Load Gallery, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych zagrożeń bezpieczeństwa.

Podatność CVE-2025-23932 dotyczy deserializacji niezaufanych danych w Marko-M Quick Count, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Quick Count od n/a do 3.00 włącznie.

W podatności CVE-2025-23931 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WordPress Local SEO w wersjach od n/a do 2.3.

Podatność CVE-2025-23921 dotyczy Multi Uploader dla Gravity Forms, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami. W wyniku tego atakujący może przesłać powłokę sieciową na serwer WWW.

Podatność CVE-2025-23918 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w przeglądarce plików Smallerik. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Klient Northern.tech Mender w wersjach 4.x przed 4.0.5 ma niewłaściwe uprawnienia, co może prowadzić do nieautoryzowanego dostępu do zasobów systemowych.