Katalog podatności CVE

W podatności CVE-2025-14347 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie OBS (Student Affairs Information System)0, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji przed 26.5009.

Wtyczka Download Plugins and Themes in ZIP from Dashboard dla WordPressa (wszystkie wersje do 1.9.6) jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcjach download_plugin_bulk i download_theme_bulk. Niezalogowany atakujący może zarchiwizować wszystkie wtyczki i motywy strony i umieścić je w katalogu `wp-content/uploads/` poprzez sfałszowane żądanie, jeśli nakłoni administratora do kliknięcia w link.

Wtyczka Zephyr Project Manager dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 3.3.203 włącznie, poprzez parametr `file`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym odczyt dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Na serwerach z włączonym `allow_url_fopen` podatność umożliwia również Server-Side Request Forgery (SSRF).

Komponent com.transsion.tranfacmode.entrance.main.MainActivity w aplikacji com.transsion.tranfacmode nie ma kontroli uprawnień i może być dostępny przez aplikacje innych firm, które mogą konstruować intencje do bezpośredniego otwierania funkcji debugowania ADB bez interakcji użytkownika.

Wtyczka WP Cookie Consent dla WordPressa (wszystkie wersje do 4.0.7) jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji gdpr_delete_policy_data. Niezalogowany atakujący może trwale usuwać dowolne wpisy, strony, załączniki i inne typy treści po ID.

Wtyczka Converter for Media dla WordPressa (wszystkie wersje do 6.3.2) jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST `/webp-converter/v1/regenerate-attachment`. Zalogowani atakujący z dostępem na poziomie Subscriber i wyższym mogą usuwać zoptymalizowane warianty WebP/AVIF dla dowolnych załączników.

Podatność CSRF w GROWI w wersji 7.3.3 i wcześniejszych. Jeśli użytkownik jest zalogowany i odwiedzi złośliwą stronę, może zostać oszukany do wykonania niepożądanych operacji.

Wtyczka WP Social Ninja – Embed Social Feeds, Customer Reviews, Chat Widgets (Google Reviews, YouTube Feed, Photo Feeds, and More) dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach getAdvanceSettings i saveAdvanceSettings we wszystkich wersjach do 4.0.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie i modyfikowanie zaawansowanych ustawień wtyczki.

Niektóre płyty główne ASRock i jej spółek zależnych mają podatność związaną z nieskutecznym mechanizmem ochronnym. Ponieważ IOMMU nie został poprawnie włączony, nieuwierzytelniony atakujący z fizycznym dostępem może użyć urządzenia PCIe z obsługą DMA do odczytu i zapisu dowolnej pamięci fizycznej przed załadowaniem jądra systemu operacyjnego i jego funkcji bezpieczeństwa.

Niektóre płyty główne GIGABYTE mają podatność związaną z nieskutecznym mechanizmem ochronnym. Ponieważ IOMMU nie został poprawnie włączony, nieuwierzytelniony atakujący z fizycznym dostępem może użyć urządzenia PCIe z obsługą DMA do odczytu i zapisu dowolnej pamięci fizycznej przed załadowaniem jądra systemu operacyjnego i jego funkcji bezpieczeństwa.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Począwszy od wersji 9.1.0 do 10.0.21, nieautoryzowany użytkownik z dostępem API może czytać wszystkie wpisy bazy wiedzy. Użytkownicy powinni zaktualizować do wersji 10.0.21, aby otrzymać poprawkę.

nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) w funkcjonalności zarządzania produktami. Złośliwe ładunki wstawione w pola "Product Name" i "Short Description" są przechowywane w bazie danych i wykonywane automatycznie, gdy użytkownik wyświetli dotknięte strony.

nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji zarządzania walutami (Currencies).

nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji wpisów na blogu w obszarze zarządzania treścią.

nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) poprzez funkcjonalność Attributes.

Podatność otwartego przekierowania w module Account w Volosoft ABP Framework w wersjach >= 5.1.0 i < 10.0.0-rc.2. Niewłaściwa walidacja parametru returnUrl w funkcji register pozwala atakującemu przekierować użytkowników na dowolne zewnętrzne domeny.

Urządzenia AmpereOne AC03 (przed 3.5.9.3), AC04 (przed 4.4.5.2) i M (przed 5.4.5.1) pozwalają na nieprawidłowo sformułowane wywołanie SMC do sterownika UEFI-MM Boot Error Record Table, co może skutkować odczytem poza zakresem (wyciek informacji Secure-EL0) lub zapisem poza zakresem (uszkodzenie pamięci Secure lub Non-Secure).

GLPI, oprogramowanie do zarządzania zasobami IT, w wersjach od 10.0.0 do 10.0.20, umożliwia niezalogowanemu użytkownikowi przechowywanie ładunku XSS poprzez endpoint inwentaryzacji.

W routerze Dbit N300 T1 Pro z oprogramowaniem V1.0.0 brak ograniczenia szybkości żądań do endpointu /api/login, co umożliwia atakującym przeprowadzenie ataku brute-force na hasło.

InvoicePlane w commicie debb446c jest podatny na nieprawidłową kontrolę dostępu. Handler invoices/view nie weryfikuje własności przed zwróceniem danych faktury.