Katalog podatności CVE

W funkcji getAccountData występuje podatność na SQL Injection, która może być wykorzystana przez nieautoryzowanego zdalnego atakującego. Niewłaściwe neutralizowanie specjalnych elementów w poleceniu SQL SELECT prowadzi do całkowitej utraty poufności.

W modelu inmessage występuje podatność na SQL Injection, która może być wykorzystana przez atakującego z niskimi uprawnieniami. Dzięki niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL DELETE, atakujący może odczytać całą bazę danych oraz usunąć wpisy z niekrytycznej tabeli.

W pliku dash_layout.php w funkcji saveDashboardLayout występuje podatność na zdalny atak SQL Injection, która może być wykorzystana przez nisko uprzywilejowanego atakującego. Błąd polega na niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL INSERT, co pozwala na odczyt całej bazy danych oraz wstawianie wpisów do niekrytycznej tabeli.

W plikach dash.php w funkcji saveDashboardLayout występuje podatność na SQL Injection, która może być wykorzystana przez atakującego z niskimi uprawnieniami. Błąd polega na niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL INSERT, co umożliwia odczyt całej bazy danych oraz wstawianie wpisów do niekrytycznej tabeli.

W podatności CVE-2025-52747 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w motywie Jthemes Themebox - Digital Products Ecommerce, co pozwala na ataki typu Reflected XSS.

Podatność w Active Backup for Business umożliwia nieautoryzowanym zdalnym atakującym odczyt dowolnych plików. To stwarza poważne zagrożenie dla poufności danych przechowywanych w systemie.

W podatności CVE-2025-22741 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w frameworku RiceTheme Felan, co pozwala na ataki typu Reflected XSS.

W pakiecie Synology C2 Identity Edge Server w DSM przed wersją 1.76.0-0307 występuje podatność związana z ujawnioną niebezpieczną metodą lub funkcją, która pozwala zdalnym atakującym na uzyskanie poświadczeń użytkowników z serwera brzegowego.

W podatności CVE-2025-13392 w Synology DiskStation Manager (DSM) przed wersją 7.2.2-72806-5 i 7.3.1-86003-1 występuje niewłaściwe sprawdzanie nietypowych lub wyjątkowych warunków w SSO, co pozwala zdalnym atakującym na ominięcie uwierzytelnienia przy wcześniejszej znajomości nazwy wyróżniającej (DN).

W podatności CVE-2023-52945 występuje niekontrolowany element ścieżki wyszukiwania w komponencie DLL OpenSSL w Synology BeeDrive dla systemu desktop przed wersją 1.3.2-13814. Umożliwia to lokalnym użytkownikom wykonanie dowolnego kodu za pomocą nieokreślonych wektorów.

Wtyczka WPCode - Insert Headers and Footers + Custom Code Snippets dla WordPressa jest podatna na zdalne wykonanie kodu w wersjach do 2.3.5 włącznie. Problem wynika z rejestracji niestandardowego typu postu 'wpcode' bez odpowiednich ograniczeń, co pozwala na wykorzystanie standardowych możliwości postów przez atakujących.

Wtyczka HBook dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry 'hb_country_iso', 'hb_usa_state_iso' oraz 'hb_canada_province_iso' w wersjach do 2.1.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony (strona administracyjna klientów HBook).

Wtyczka affiliate-toolkit dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 3.8.5. Problem wynika z użycia metody runString() silnika szablonów BladeOne, która kompiluje dostarczoną przez użytkownika zawartość szablonu do kodu PHP i wykonuje go za pomocą eval() bez sanitizacji lub piaskownicy.

W podatności CVE-2026-40819 zidentyfikowano nieautoryzowaną podatność na SQL Injection w zadaniu sync_data24, wynikającą z niewłaściwego neutralizowania specjalnych elementów w poleceniu SQL SELECT. Atakujący może wykorzystać tę lukę, co prowadzi do całkowitej utraty poufności.

W funkcji _mb24confi_getDevice występuje podatność na nieautoryzowany atak SQL Injection, spowodowana niewłaściwym neutralizowaniem specjalnych elementów w poleceniu SQL SELECT. Atakujący może wykorzystać tę lukę, co prowadzi do całkowitej utraty poufności.

W funkcji getAlarmProfiles występuje podatność na SQL Injection, która może być wykorzystana przez nieautoryzowanego zdalnego atakującego. Niewłaściwe neutralizowanie specjalnych elementów w poleceniu SQL SELECT prowadzi do całkowitej utraty poufności.

W plikach mb24alarm.php występuje podatność na zdalny atak SQL Injection w funkcji _mb24confi_getTagAlarm, co pozwala na nieautoryzowany dostęp do danych.

W funkcji _mb24api_getUserAccount występuje podatność na nieautoryzowany atak SQL Injection, spowodowana niewłaściwym neutralizowaniem specjalnych elementów w poleceniu SQL SELECT. Może to prowadzić do całkowitej utraty poufności danych.

W pliku dataapi.php w funkcji _mb24confi_getTagAlarm występuje podatność na nieautoryzowaną iniekcję SQL, która wynika z niewłaściwego neutralizowania specjalnych elementów w poleceniu SQL SELECT. Może to prowadzić do całkowitej utraty poufności.

W podatności CVE-2026-40813 występuje nieautoryzowana możliwość zdalnego ataku poprzez SQL Injection w parametrze tagid funkcji getLiveValues. Niewłaściwe neutralizowanie specjalnych elementów w poleceniu SQL SELECT może prowadzić do całkowitej utraty poufności.