CVE Vulnerability Catalog

Radiometrics VizAir exposes the system's REST API key through a publicly accessible configuration file. Attackers can remotely alter weather data and configurations, automate attacks against multiple instances, and extract sensitive meteorological data.

Wtyczka Easy Upload Files During Checkout dla WordPressa jest podatna na przesyłanie dowolnych plików JavaScript z powodu braku walidacji typu pliku w funkcji 'file_during_checkout' we wszystkich wersjach do 2.9.8 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików JavaScript na serwer dotkniętej witryny.

The ShopLentor plugin for WordPress in versions up to and including 3.2.5 is vulnerable to Local File Inclusion via the 'load_template' function. An unauthenticated attacker can include and execute arbitrary .php files on the server, leading to PHP code execution.

Wtyczka Simple User Capabilities dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w funkcji suc_submit_capabilities() we wszystkich wersjach do i włącznie z 1.0. Umożliwia to nieautoryzowanym atakującym podniesienie roli dowolnego konta użytkownika do administratora.

Wtyczka CE21 Suite dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.3.1 włącznie, poprzez plik dziennika. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym poświadczeń uwierzytelniających.

Wtyczka CE21 Suite dla WordPressa jest podatna na nieautoryzowaną aktualizację ustawień wtyczki z powodu braku sprawdzenia uprawnień w akcji AJAX wp_ajax_nopriv_ce21_single_sign_on_save_api_settings w wersjach od 2.2.1 do 2.3.1. Umożliwia to nieautoryzowanym atakującym aktualizację ustawień API wtyczki, w tym tajnego klucza używanego do uwierzytelniania.

lighttpd 1.4.80 incorrectly merges trailer fields into headers after HTTP request parsing. This behavior can be exploited to conduct HTTP Header Smuggling attacks. Successful exploitation may allow an attacker to bypass access control rules, inject unsafe input into backend logic that trusts request headers, and execute HTTP Request Smuggling attacks under some conditions.

W kamerach Geutebruck G-Cam E-Series odkryto nieautoryzowaną podatność na SQL Injection poprzez parametr `Group` w skrypcie `/uapi-cgi/viewer/Param.cgi`. Potwierdzono to na kamerze EFD-2130 działającej na wersji oprogramowania 1.12.0.19.

Car-Booking-System-PHP v.1.0 is vulnerable to SQL Injection in /carlux/contact.php. The vulnerability may allow manipulation of SQL queries.

Car-Booking-System-PHP v.1.0 is vulnerable to SQL Injection in /carlux/forgot-pass.php. The vulnerability may allow manipulation of SQL queries in the password recovery function.

Car-Booking-System-PHP v.1.0 is vulnerable to SQL Injection in /carlux/sign-in.php. The vulnerability may allow manipulation of SQL queries during login.

Wtyczka Doccure Core dla WordPressa jest podatna na eskalację uprawnień w wersjach do, ale nie włączając, 1.5.4. Problem wynika z możliwości, jaką mają użytkownicy rejestrujący nowe konta, aby ustawić własną rolę lub dostarczyć pole 'user_type'.

Podatność CVE-2025-0987 dotyczy projektu CVLand firmy CB Project Ltd. Co. i polega na obejściu autoryzacji poprzez wstrzykiwanie parametrów kontrolowanych przez użytkownika. Problem ten występuje w wersjach CVLand od 2.1.0 do 20251103.

/etc/timezone can be written arbitrarily, allowing uncontrolled modification of the timezone configuration. This issue affects BLU-IC2 and BLU-IC4 through version 1.19.5.

/etc/avahi/services/z9.service can be written arbitrarily, allowing uncontrolled modification of the Avahi service configuration. This issue affects BLU-IC2 and BLU-IC4 through version 1.19.5.

Web UI Malfunction when setting unexpected locale via API. This issue affects BLU-IC2: through 1.19.5; BLU-IC4: through 1.19.5.

Multiple Devices are Sharing the Same Secrets for SDKSocket (TCP/5000). This issue affects BLU-IC2: through 1.19.5; BLU-IC4: through 1.19.5.

Wtyczka Tablesome Table – Contact Form DB dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_featured_image_from_external_url() w wersjach do 1.1.32 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Post SMTP – Kompletny rozwiązanie SMTP z logami, alertami, kopią zapasową SMTP i aplikacją mobilną dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji __construct we wszystkich wersjach do i włącznie z 3.6.0. Umożliwia to nieautoryzowanym atakującym odczyt dowolnych zarejestrowanych e-maili, w tym e-maili z linkami do resetowania haseł.