Katalog podatności CVE

W systemie eTimeTrackLite Web do wersji 12.0 (20250704) odkryto lukę w kontroli uprawnień, która pozwala nieautoryzowanym atakującym na dostęp do określonych tras oraz modyfikację konfiguracji połączeń z bazą danych.

Podatność SQL injection w platformie wirtualnego kampusu DRED. Umożliwia atakującemu odczyt, tworzenie, aktualizację i usuwanie danych z bazy danych poprzez wysłanie żądania POST z parametrem 'buscame' w '/catalogo_c/catalogo.php'.

W podatności CVE-2025-62959 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w aplikacji videowhisper Paid Videochat Turnkey Site w wersjach od n/a do 7.3.23. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu na serwerze.

Urządzenia BLU-IC2 i BLU-IC4 nie wymuszają zmiany hasła początkowego przy pierwszym logowaniu. Problem dotyczy wersji do 1.19.5 włącznie.

Podatność w urządzeniach BLU-IC2 i BLU-IC4 (do wersji 1.19.5) umożliwia manipulację plikiem konfiguracyjnym poczty oraz wykonanie poleceń. Może to prowadzić do przejęcia kontroli nad urządzeniem.

Urządzenia BLU-IC2 i BLU-IC4 zawierają podatną wersję BusyBox 1.31.1, która posiada wiele znanych podatności bezpieczeństwa. Problem dotyczy wersji do 1.19.5 włącznie.

W systemie Azure Access OS urządzeń BLU-IC2 i BLU-IC4 występują podatne komponenty. Problem dotyczy wersji do 1.19.5 włącznie.

W urządzeniach występują słabe domyślne poświadczenia, które mogą zostać łatwo odgadnięte lub złamane. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

Urządzenia BLU-IC2 i BLU-IC4 do wersji 1.19.5 używają domyślnego ciągu społeczności SNMP 'public'. Pozwala to na nieautoryzowany dostęp do informacji zarządzających przez SNMP.

Emlog Pro w wersji 2.5.23 ma błąd weryfikacji kodu sesji wynikający z błędu logiki czyszczenia. Kod weryfikacyjny może być ponownie użyty wszędzie tam, gdzie wymagany jest kod weryfikacyjny e-mail. Problem naprawiono w commicie 1f726df.

Antabot White-Jotter w wersji do commita 9bcadc zawiera podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia, która występuje w komponencie /api/aaa;/../register.

W D-Link DIR600L Ax FW116WWb01 wykryto przepełnienie bufora poprzez parametr curTime w funkcji formSetWAN_Wizard52. Podatność może być wykorzystana przez zdalnego atakującego do destabilizacji urządzenia.

W systemie tworzone są nieudokumentowane konta administracyjne, które mają ułatwiać dostęp aplikacjom działającym na urządzeniu. Problem dotyczy BLU-IC2 i BLU-IC4 w wersjach do 1.19.5 włącznie.

W systemie DobryCMS wykryto podatność na wstrzykiwanie SQL. Niewłaściwa neutralizacja danych wprowadzanych przez użytkownika w funkcji językowej umożliwia ataki typu SQL Injection. Problem dotyczy starszych gałęzi oprogramowania.

Dell Storage Manager w wersji 20.1.21 zawiera podatność na niewłaściwe uwierzytelnianie. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, co prowadzi do obejścia mechanizmów ochronnych. Obejście uwierzytelniania w DSM Data Collector umożliwia dostęp do API wystawionych przez ApiProxy.war w DataCollectorEar.ear przy użyciu specjalnego SessionKey i UserId.

W podatności CVE-2025-11253 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Netty ERP przed wersją 1.1000.

Wtyczka WooCommerce Designer Pro dla WordPressa, używana przez motyw Pricom - Printing Company & Design Services, jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'wcdp_save_canvas_design_ajax' we wszystkich wersjach do 1.9.26 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W oprogramowaniu Productivity Suite w wersji v4.4.1.19 odkryto podatność związaną z nieograniczonym adresem IP. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz odczyt, zapis lub usunięcie dowolnych plików i folderów na docelowej maszynie.

Podatność typu server-side request forgery (SSRF) w Azure Compute Gallery pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.

Interfejs oparty na SOAP w systemie TLS4B ATG jest podatny z powodu dostępności przez handler usług webowych. Ta podatność umożliwia zdalnym atakującym z ważnymi poświadczeniami wykonywanie poleceń na poziomie systemu w systemie Linux.