Katalog podatności CVE

W podatności CVE-2025-23931 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WordPress Local SEO w wersjach od n/a do 2.3.

Podatność CVE-2025-23921 dotyczy Multi Uploader dla Gravity Forms, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami. W wyniku tego atakujący może przesłać powłokę sieciową na serwer WWW.

Podatność CVE-2025-23918 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w przeglądarce plików Smallerik. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Klient Northern.tech Mender w wersjach 4.x przed 4.0.5 ma niewłaściwe uprawnienia, co może prowadzić do nieautoryzowanego dostępu do zasobów systemowych.

Mjolnir to narzędzie moderacyjne dla Matrix. W wersji 1.9.0 bot odpowiada na polecenia zarządzające z każdego pokoju, w którym jest członkiem, co może umożliwić użytkownikom, którzy nie są operatorami bota, korzystanie z jego funkcji, w tym komponentów administracyjnych serwera, jeśli są włączone.

Podatność CVE-2025-22723 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Barcode Scanner z modułem zarządzania zapasami i zamówieniami. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Wielokrotna karuzela Multiple Carousel w wersjach od n/a do 2.0 zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

Podatność CVE-2024-51919 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Fancy Product Designer w wersjach od n/a do 6.4.3. Umożliwia to atakującym przesyłanie złośliwych plików na serwer.

W podatności CVE-2024-51888 występuje nieprawidłowe przypisanie uprawnień w wtyczce Homey Login Register, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 2.4.0 włącznie.

W podatności CVE-2024-51818 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Fancy Product Designer w wersjach od n/a do 6.4.3.

Podatność CVE-2024-49688 dotyczy deserializacji niezaufanych danych w systemie ARPrice, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach ARPrice od n/a do 4.1.3 włącznie.

W podatności CVE-2024-49655 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie ARPrice w wersjach od n/a do 4.1.3.

Podatność związana z nieprawidłowym przypisaniem uprawnień w InspiryThemes Easy Real Estate umożliwia eskalację uprawnień. Problem dotyczy wersji Easy Real Estate od n/a do 2.2.9 włącznie.

Wtyczka Adifier System dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 3.1.7 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak hasło, przez funkcję adifier_recover().

Podatność typu Cross-Site Request Forgery (CSRF) w Harsh iSpring Embedder umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji iSpring Embedder od n/a do 1.0 włącznie.

Wtyczka WP Options Editor w wersjach od n/a do 1.1 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia eskalację uprawnień. Problem ten dotyczy wtyczki stworzonej przez Mike'a Selandera.

W urządzeniu RE11S w wersji 1.11 odkryto podatność na przepełnienie stosu przez parametr pppUserName w funkcji formPPPoESetup.

W urządzeniu RE11S w wersji oprogramowania v1.11 odkryto podatność na wstrzykiwanie poleceń w komponencie /goform/formAccept. Atakujący może zdalnie wykonać dowolne polecenia systemowe.

W urządzeniu RE11S w wersji 1.11 odkryto podatność na przepełnienie stosu w funkcji formWlSiteSurvey poprzez parametr selSSID.

W urządzeniu RE11S w wersji 1.11 wykryto podatność na wstrzykiwanie poleceń przez parametr L2TPUserName w skrypcie /goform/setWAN. Atakujący może zdalnie wykonać dowolne polecenia systemowe.