CVE Vulnerability Catalog

In pig-mesh Pig versions 3.8.2 and below, when setting up scheduled tasks in the Quartz management function, it is possible to execute any Java class with a parameterless constructor and its methods with a String parameter through reflection. Using the eval method in Tomcat's built-in jakarta.el.ELProcessor class, commands can be executed, leading to remote code execution.

W systemie ycf1998 money-pos przed commit 11f276bd20a41f089298d804e43cb1c39d041e59 (2025-09-14) występuje wiele podatności typu SQL injection, które umożliwiają zdalnemu atakującemu wykonanie dowolnego kodu poprzez parametr orderby.

An SQL injection vulnerability has been reported to affect QuMagie. A remote attacker can exploit the vulnerability to execute unauthorized code or commands. We have already fixed the vulnerability in the following versions: QuMagie 2.7.0 and later.

Monsta FTP versions 2.11 and earlier contain a vulnerability allowing unauthenticated arbitrary file uploads. This flaw enables attackers to execute arbitrary code by uploading a specially crafted file from a malicious (S)FTP server.

SQL injection vulnerability in DIAL's CentrosNet v2.64. An attacker can retrieve, create, update, and delete databases by sending POST and GET requests with the 'ultralogin' parameter in '/centrosnet/ultralogin.php'.

ClipBucket v5 versions 5.5.2 - #156 and below allow an authenticated regular user to create a photo collection whose Collection Name contains HTML/JavaScript payloads, making ClipBucket’s Manage Photos feature vulnerable to Stored XSS. The payload is rendered unsafely in the Admin → Manage Photos interface, causing it to execute in the administrator’s browser, allowing an attacker to target administrators and perform actions with elevated privileges.

Wtyczka Gravity Forms dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji copy_post_image() we wszystkich wersjach do i włącznie z 2.9.20. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W oprogramowaniu księgowym Manager-io/Manager w wersjach Desktop i Server 25.11.1.3085 i poniżej występuje krytyczna podatność, która umożliwia nieautoryzowany dostęp do zasobów wewnętrznej sieci. Problem wynika z wadliwej konstrukcji mechanizmu walidacji DNS.

CLUSTERPRO X and EXPRESSCLUSTER X for Linux versions 4.0–5.2 and their SingleServerSafe variants allow an unauthenticated attacker to execute arbitrary OS commands by sending specially crafted network packets.

Podatność CVE-2025-12488 dotyczy oprogramowania oobabooga text-generation-webui, które pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji parametru trust_remote_code przed jego użyciem do ładowania modelu.

Podatność CVE-2025-12487 dotyczy oprogramowania oobabooga text-generation-webui, które pozwala zdalnym atakującym na wykonanie dowolnego kodu na zainfekowanych instalacjach. Problem wynika z braku odpowiedniej walidacji parametru trust_remote_code przed jego użyciem do załadowania modelu.

A SQL injection vulnerability in SuiteCRM versions prior to 7.12.6 exists in the processing of the 'uid' parameter within the export functionality. Remote unauthenticated attackers can exploit this flaw to execute arbitrary code.

AnyDesk for Windows before 9.0.5, macOS before 9.0.1, Linux before 7.0.0, iOS before 7.1.2, and Android before 8.0.0 has an integer overflow and resultant heap-based buffer overflow via a UDP packet during processing of an Identity user image within the Discovery feature, or when establishing a connection between any two clients.

Podatność CVE-2025-6327 w King Addons dla Elementor umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji od n/a do 51.1.36.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce King Addons dla Elementor umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 51.1.36.

Podatność CVE-2025-62065 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Rometheme RTMKit dla Elementor. Problem ten występuje w wersjach RTMKit od n/a do 1.6.5 włącznie.

Podatność CVE-2025-62064 w Elated-Themes Search & Go umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał, co pozwala na wykorzystanie funkcji odzyskiwania hasła. Problem dotyczy wersji Search & Go od n/a do 2.7 włącznie.

Podatność CVE-2025-62047 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Case Addons dla Case-Themes. Problem ten występuje w wersjach od n/a do poniżej 1.3.0.

Podatność CVE-2025-62016 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w motywie KALLYAS. Problem ten występuje w wersjach KALLYAS od n/a do 4.22.0 włącznie.

Podatność na deserializację nieufnych danych w WP User Manager umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WP User Manager od n/a do 2.9.12 włącznie.