CVE Vulnerability Catalog

W frameworku uczenia maszynowego Rasa zidentyfikowano podatność, która umożliwia zdalne wykonanie kodu przez atakującego, który ma możliwość załadowania złośliwie przygotowanego modelu do instancji Rasa. Wymaga to włączenia API HTTP oraz braku odpowiednich zabezpieczeń lub posiadania ważnego tokena uwierzytelniającego.

W serwerach pamięci masowej STEALTHONE D220/D340 firmy Y'S występuje podatność na wstrzykiwanie poleceń systemowych. Atakujący, który ma dostęp do podatnego produktu, może wykonać dowolne polecenie systemowe.

SAP NetWeaver Application Server dla ABAP oraz platforma ABAP pozwala uwierzytelnionemu atakującemu na uzyskanie nieautoryzowanego dostępu do systemu poprzez wykorzystanie niewłaściwych kontroli uwierzytelniania, co prowadzi do eskalacji uprawnień. Udana eksploitacja może prowadzić do poważnych problemów z bezpieczeństwem.

W urządzeniach Eaton X303 w wersjach 3.5.16 - 3.5.17 Build 712, atakujący z dostępem do sieci może zalogować się jako root przez SSH, ponieważ hasło root jest zakodowane w oprogramowaniu układowym. Należy zauważyć, że ta podatność występuje w wersjach, które nie są już wspierane przez Eaton.

A vulnerability in Cfx.re FXServer version v9601 and earlier allows unauthenticated users to modify and read arbitrary user data via an exposed API endpoint. The issue stems from incorrect access control.

Podatność 'Użycie hasła skrótu z niewystarczającym wysiłkiem obliczeniowym' w EveHome Eve Play pozwala atakującemu na wykonanie dowolnego kodu. Problem ten dotyczy wersji Eve Play do 1.1.42.

Podatność CVE-2025-22777 dotyczy deserializacji niezaufanych danych w wtyczce GiveWP, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji GiveWP od n/a do 3.19.3 włącznie.

Atheos to samodzielnie hostowane, przeglądarkowe IDE w chmurze. W wersjach przed v600 parametry $path i $target nie są odpowiednio walidowane w wielu komponentach, co pozwala atakującemu na odczyt, modyfikację lub wykonanie dowolnych plików na serwerze.

Fortanix Enclave OS w wersji 3.36.1941-EM posiada podatność w interfejsie, która prowadzi do uszkodzenia stanu systemu w wyniku wstrzykniętych sygnałów.

FastCGI fcgi2 w wersjach od 2.x do 2.4.4 zawiera przepełnienie całkowitej liczby (i wynikowe przepełnienie bufora w stercie) spowodowane przez spreparowane wartości nameLen lub valueLen w danych przesyłanych do gniazda IPC. Problem ten występuje w funkcji ReadParams w pliku fcgiapp.c.

An issue was discovered in Opsview Monitor Agent 6.8. An unauthenticated remote attacker can call check_nrpe against affected targets, specifying known NRPE plugins, which in default installations are configured to accept command control characters and pass them to command-line interpreters for NRPE plugin execution. This allows the attacker to escape NRPE plugin execution and execute commands remotely on the target as NT_AUTHORITY\SYSTEM.

PHPYun before version 7.0.2 is vulnerable to remote code execution through backdoor-restricted arbitrary file writing and file inclusion.

W wersji 2.4 Infoblox BloxOne odkryto lukę w logice biznesowej spowodowaną podatnościami w grubej aplikacji klienckiej.

W podatności CVE-2025-22542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wirtualnym bocie Ofek Nakar. Problem dotyczy wersji Virtual Bot od n/a do 1.0.0 włącznie.

W podatności CVE-2025-22540 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w module subskrypcji e-mail seballero. Problem dotyczy wersji Emailing Subscription od n/a do 1.4.1 włącznie.

Podatność CVE-2025-22504 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w formularzach internetowych 4ECPS, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji 4ECPS Web Forms od n/a do 0.2.18 włącznie.

Wtyczka Post Grid Master – Custom Post Types, Taxonomies & Ajax Filter Everything z WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 3.4.12 włącznie, poprzez funkcję 'locate_template'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

W SonicWALL SSL-VPN występuje możliwość obejścia wieloskładnikowego uwierzytelniania (MFA) w określonych przypadkach, związana z oddzielnym traktowaniem nazw kont UPN (User Principal Name) i SAM (Security Account Manager) przy integracji z Microsoft Active Directory. To pozwala na niezależną konfigurację MFA dla każdej metody logowania, co może umożliwić atakującym obejście MFA poprzez wykorzystanie alternatywnej nazwy konta.

Wiele podatności typu buffer overflow występuje w kilku binariach CGI stacji ładowania. Problem ten dotyczy oprogramowania Iocharger dla ładowarek modelu AC przed wersją 24120701.