Katalog podatności CVE

Router TOZED ZLT M30s do wersji 1.47 zawiera podatność na ujawnienie informacji w interfejsie zarządzania webowego, w pliku /reqproc/proc_post, poprzez manipulację argumentem goformId. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Router JD Cloud BE6500 w wersji 4.4.1.r4308 zawiera podatność na iniekcję poleceń w funkcji sub_4780 pliku /jdcapi, poprzez argument ddns_name. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Niewystarczająca kontrola dostępu w implementacji RTMP w Pexip Infinity do wersji 38.1 pozwala atakującemu na rozłączanie strumieni RTMP przechodzących przez węzeł proxy.

Pexip Infinity w wersjach od 32.0 do 37.1 przed 37.2, w niektórych konfiguracjach OTJ (One Touch Join) dla Teams SIP Guest Join, ma problem z nieprawidłowym sprawdzaniem danych wejściowych w usłudze OTJ. Zdalny atakujący może wywołać awarię oprogramowania poprzez spreparowane zaproszenie kalendarzowe, prowadząc do odmowy usługi.

Podatność w oprogramowaniu Fujitsu / Fsas Technologies ETERNUS SF ACM/SC/Express (DX / AF Management Software) w wersjach przed 16.8-16.9.1 PA 2025-12. Gdy zebrane dane konserwacyjne są dostępne dla podmiotu innego niż ETERNUS SF Admin, atakujący może potencjalnie wpłynąć na poufność, integralność i dostępność systemu.

ONLYOFFICE Docs przed wersją 9.2.1 pozwala na atak XSS w polu textarea formularza edycji komentarzy. Podatność jest związana z komponentem DocumentServer.

Podatność XSS w Riello UPS NetMan 208 przed wersją 1.12, występująca w skrypcie cgi-bin/loginbanner_w.cgi poprzez spreparowany baner.

Aplikacja Riello UPS NetMan 208 przed wersją 1.12 zawiera podatność SQL Injection w skrypcie cgi-bin/login.cgi w parametrze username. Atakujący może wykorzystać tę podatność do wykonania nieautoryzowanych zapytań SQL, np. usunięcia tabeli LOGINFAILEDTABLE.

IBM Concert 1.0.0-2.1.0 przechowuje wrażliwe informacje w postaci jawnego tekstu podczas rekurencyjnych buildów docker, które mogą być uzyskane przez lokalnego użytkownika.

MyNET do wersji v26.08.316 zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL poprzez parametr intmenu. Atakujący może wykorzystać tę lukę bez konieczności logowania się do systemu.

MyNET do wersji v26.08 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr ficheiro. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie odzwierciedlony w odpowiedzi serwera i wykonany w przeglądarce ofiary.

Luka typu open redirect w punkcie końcowym logowania Blitz Panel v1.17.0 pozwala atakującym przekierować użytkowników na złośliwe domeny za pomocą spreparowanego adresu URL. Problem dotyczy parametru next_url w punkcie końcowym logowania i może prowadzić do phishingu lub kradzieży tokenów po pomyślnym uwierzytelnieniu.

Podatność CVE-2025-2154 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Specto CM, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji przed 17032025.

Podatność ujawnienia wrażliwych informacji systemowych nieautoryzowanej sferze kontroli w wtyczce WPXPO PostX (ultimate-post) umożliwia pobieranie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 5.0.3.

Wtyczka Post Grid and Gutenberg Blocks do wersji 2.3.23 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.

Wtyczka Editorial Calendar do wersji 3.8.8 zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress 'Accept Donations with PayPal & Stripe' do wersji 1.5.2 zawiera podatność na otwarte przekierowanie (Open Redirect), które może być wykorzystane do phishingu.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce WordPress Five Star Restaurant Reservations (restaurant-reservations). Problem dotyczy wersji od n/a do 2.7.8 włącznie.

Wtyczka WordPress Link Library (link-library) autorstwa Yannick Lefebvre zawiera podatność Server-Side Request Forgery (SSRF). Problem występuje w wersjach od n/a do 7.8.7 włącznie. Podatność może pozwolić atakującemu na wymuszenie żądań z serwera do dowolnych zasobów.

Wtyczka YouTube Embed do wersji 5.4 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.