Katalog podatności CVE

W GNU Binutils 2.45 znaleziono podatność w funkcji elf_swap_shdr w bibliotece bfd/elfcode.h komponentu Linker. Manipulacja prowadzi do przepełnienia bufora na stercie. Atak musi być przeprowadzony lokalnie, a exploit został publicznie ujawniony.

W GNU Binutils 2.45 znaleziono błąd w funkcji _bfd_elf_parse_eh_frame w pliku bfd/elf-eh-frame.c komponentu Linker. Wykonanie manipulacji prowadzi do przepełnienia bufora na stercie. Atak jest ograniczony do lokalnego wykonania, a exploit został opublikowany.

W aplikacji zhuimengshaonian wisdom-education (wersje do 1.0.4) wykryto podatność w funkcji selectStudentExamInfoList w pliku ExamInfoController.java. Manipulacja argumentem subjectId prowadzi do nieprawidłowej autoryzacji. Exploit jest publicznie ujawniony.

W Campcodes Farm Management System 1.0 wykryto podatność w nieznanej funkcjonalności, która prowadzi do ujawnienia informacji o plikach i katalogach. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Zidentyfikowano podatność w itsourcecode Open Source Job Portal 1.0. Dotknięta jest nieznana funkcjonalność w pliku /admin/user/controller.php?action=photos. Manipulacja argumentem photo prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.

W Keyfactor RG-EW5100BE w wersji EW_3.0B11P280_EW5100BE-PRO_12183019 wykryto podatność w nieznanej funkcji pliku /cgi-bin/luci/api/cmd komponentu HTTP POST Request Handler. Manipulacja argumentem url prowadzi do wstrzyknięcia komend. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

W SeaCMS 13.3.20250820 wykryto podatność SQL injection w nieznanej funkcji pliku /admin_cron.php w module zarządzania zadaniami cron. Manipulacja argumentami resourcefrom/collectID pozwala na wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

System School Management System 1.0 firmy ProjectsAndPrograms ma podatność SQL injection w pliku owner_panel/fetch-data/select-students.php. Manipulacja argumentem select umożliwia zdalny atak. Exploit został opublikowany.

W aplikacji itsourcecode Open Source Job Portal 1.0 wykryto podatność w pliku /jobportal/admin/category/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Wtyczka Professional Contact Form dla WordPressa we wszystkich wersjach do 1.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji watch_for_contact_form_submit. Umożliwia to nieuwierzytelnionym atakującym wywołanie wysyłki testowego e-maila poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka Trust Reviews dla Google, Tripadvisor, Yelp, Airbnb i innych platform dla WordPressa we wszystkich wersjach do 1.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji feed_save. Umożliwia to nieuwierzytelnionym atakującym tworzenie lub modyfikację wpisów feedu poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka cForms – Light speed fast Form Builder dla WordPressa we wszystkich wersjach do 3.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji cforms_api. Umożliwia to nieuwierzytelnionym atakującym modyfikację formularzy i ich ustawień poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka HidePost dla WordPressa we wszystkich wersjach do 2.3.8 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce na stronie ustawień options.php. Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka Sync Feedly dla WordPressa (wszystkie wersje do 1.0.1 włącznie) jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji crsf_cron_job_func. Nieuwierzytelniony atakujący może wywołać synchronizację treści z Feedly, potencjalnie tworząc wiele postów poprzez sfałszowane żądanie, jeśli uda mu się nakłonić administratora do kliknięcia linku.

Wtyczka VM Menu Reorder dla WordPressa we wszystkich wersjach do 1.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji vm_set_to_default. Umożliwia to nieuwierzytelnionym atakującym zresetowanie wszystkich ustawień kolejności menu poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

W oprogramowaniu SourceCodester Pet Grooming Management Software 1.0 wykryto podatność typu cross-site request forgery (CSRF). Podatność dotyczy nieznanego fragmentu kodu i może być wykorzystana zdalnie.

W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Wersje pakietu github.com/nyaruka/phonenumbers przed 1.2.2 są podatne na nieprawidłową walidację poprawności składniowej danych wejściowych w funkcji phonenumbers.Parse(). Atakujący może wywołać panikę, dostarczając spreparowane dane wejściowe powodujące błąd "runtime error: slice bounds out of range".

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka Ninja Forms do WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 3.12.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji maybe_opt_in(), co umożliwia nieuwierzytelnionym atakującym włączenie zbierania statystyk użytkowania poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.