CVE Vulnerability Catalog

Dpanel to system wizualizacji Dockera, który zawiera w swojej domyślnej konfiguracji twardo zakodowany sekret JWT. Ta podatność pozwala atakującym na generowanie ważnych tokenów JWT, co może prowadzić do przejęcia kontroli nad maszyną hosta.

Atakujący mógłby modyfikować lub dezaktywować ustawienia, zakłócać monitorowanie paliwa oraz operacje w łańcuchu dostaw, co prowadziłoby do wyłączenia monitorowania ATG. Może to skutkować potencjalnymi zagrożeniami dla bezpieczeństwa w przechowywaniu i transportowaniu paliwa.

Wykryto podatność na atak powtórzeniowy w zestawie inteligentnego domu Zigbee produkowanym przez Ksix, gdzie mechanizm anty-replay oparty na polu licznika ramek jest niewłaściwie zaimplementowany. Atakujący w zasięgu bezprzewodowym może ponownie wysłać przechwycone pakiety z wyższym numerem sekwencyjnym, co pozwala na wstrzykiwanie fałszywych poleceń bez autoryzacji.

A use-after-free vulnerability was found in the libsoup library, in the soup_message_headers_get_content_disposition() function. This flaw allows a malicious HTTP client to cause memory corruption in the libsoup server.

Podatność CVE-2025-30985 dotyczy deserializacji niezaufanych danych w systemie GNUCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji GNUCommerce od n/a do 1.5.4 włącznie.

In the HylaFAX Enterprise Web Interface and AvantFAX, the language form element is not properly sanitized before being used, which can be exploited to include an arbitrary file in the PHP code.

An integer overflow can be triggered in SQLite's concat_ws() function. The resulting truncated integer is used to allocate a buffer, but the original untruncated size is used when writing the resulting string, leading to a heap buffer overflow of about 4GB that can result in arbitrary code execution.

DevDojo Voyager w wersjach od 1.4.0 do 1.8.0, przy użyciu Laravel 8 lub nowszego, umożliwia uwierzytelnionym administratorom wykonywanie dowolnych poleceń systemu operacyjnego za pomocą określonego polecenia php artisan.

Podatność związana z nieprawidłowym przypisaniem uprawnień w SUSE Rancher pozwala na to, aby Ograniczony Administrator zmienił hasło Administratorów i przejął ich konta. Problem dotyczy wersji rancher: od 2.8.0 do przed 2.8.14, od 2.9.0 do przed 2.9.8, od 2.10.0 do przed 2.10.4.

Podatność typu deserializacja niezaufanych danych w usłudze WpBookingly od magepeopleteam umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WpBookingly od n/a do 1.3.0 włącznie.

Podatność CVE-2025-32603 dotyczy wtyczki WP Online Users Stats, która umożliwia atak typu Blind SQL Injection. Problem występuje w wersjach od n/a do 1.0.0.

Podatność CVE-2025-32579 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Sync Posts firmy SoftClever Limited. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

W podatności CVE-2025-32577 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy aplikacji Build App Online w wersjach od n/a do 1.0.23.

Podatność CVE-2025-32569 dotyczy deserializacji niezaufanych danych w RealMag777 TableOn, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji TableOn od n/a do 1.0.4.3 włącznie.

Podatność CVE-2025-32568 dotyczy deserializacji niezaufanych danych w wtyczce EmpikPlace dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.4.3 włącznie.

Podatność CVE-2025-32565 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w produkcie Neon Product Designer dla WooCommerce. Problem ten dotyczy wersji od n/a do 2.2.0 włącznie.

W podatności CVE-2025-32491 występuje nieprawidłowe przypisanie uprawnień w wtyczce Rankology SEO – On-site SEO, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 2.2.4 włącznie.

W podatności CVE-2025-31599 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w N-Media Bulk Product Sync w wersjach od n/a do 8.6.

W podatności CVE-2025-31565 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WPSmartContracts w wersjach od n/a do 2.0.12.

W ConnMan do wersji 1.44, ciąg wyszukiwania w ns_resolv w dnsproxy.c może być NULL lub pustym ciągiem, gdy bit TC (Truncated) jest ustawiony w odpowiedzi DNS. To umożliwia atakującym spowodowanie awarii aplikacji (denial of service) lub potencjalne wykonanie dowolnego kodu, ponieważ te wartości wyszukiwania prowadzą do błędnych obliczeń długości i niepoprawnych operacji memcpy.