Katalog podatności CVE

W podatności CVE-2025-54720 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w dodatkach SteelThemes Nest Addons. Problem dotyczy wersji dodatków od n/a do 1.6.3 włącznie.

Podatność CVE-2025-52761 dotyczy deserializacji niezaufanych danych w wtyczce WP Funnel Manager, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.4.0.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce Miraculous Core Plugin pozwala na eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 2.0.7 włącznie.

Podatność CVE-2025-49387 dotyczy wtyczki Drag and Drop File Upload for Elementor Forms, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.

Podatność CVE-2025-48100 dotyczy niewłaściwej kontroli generowania kodu w integratorze bidorbuy Store, co pozwala na zdalne włączenie kodu. Problem ten występuje w wersjach od n/a do 2.12.0 włącznie.

Podatność CVE-2025-39496 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WooBeWoo Product Filter Pro. Problem ten dotyczy wersji przed 2.9.6.

W jądrze Linuxa rozwiązano podatność związaną z obsługą żądań deszyfrowania w trybie synchronicznym. Oddzielono obsługę żądań deszyfrowania bez asynchroniczności od asynchronicznych, co upraszcza proces i eliminuje problemy z liczeniem referencji.

SS1 w wersji 16.0.0.10 i wcześniejszych (wersja Media: 16.0.0a i wcześniejsze) umożliwia zdalnemu, nieautoryzowanemu atakującemu przesyłanie dowolnych plików oraz wykonywanie poleceń systemowych z uprawnieniami SYSTEM.

SS1 w wersji 16.0.0.10 i wcześniejszych (wersja multimedialna: 16.0.0a i wcześniejsze) umożliwia zdalnemu, nieautoryzowanemu atakującemu przesyłanie dowolnych plików oraz wykonywanie poleceń systemowych z uprawnieniami SYSTEM.

Wtyczka RingCentral Communications dla WordPressa jest podatna na obejście uwierzytelniania z powodu niewłaściwej walidacji w funkcji ringcentral_admin_login_2fa_verify() w wersjach od 1.5 do 1.6.8. Umożliwia to nieautoryzowanym atakującym logowanie się jako dowolny użytkownik, wystarczy podać identyczne fałszywe kody.

W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w procedurach obsługi danych wejściowych związanych z siecią. Podatność jest osiągalna bez uwierzytelnienia i wynika z nieprawidłowego sprawdzania granic przy przetwarzaniu danych kontrolowanych przez atakującego.

W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w logice parsowania danych wejściowych. Podatność można wywołać bez uwierzytelnienia, wysyłając specjalnie spreparowane dane, co może prowadzić do awarii aplikacji lub zdalnego wykonania kodu.

W Arcserve Unified Data Protection (UDP) występuje obejście uwierzytelniania, które pozwala nieuwierzytelnionym atakującym uzyskać dostęp do chronionych funkcji lub kont użytkowników. Poprzez manipulację parametrami żądania lub wykorzystanie błędu logicznego można ominąć mechanizm logowania i uzyskać uprawnienia administratora. Podatność dotyczy wszystkich wersji UDP przed 10.2.

Oprogramowanie Dongsheng Logistics wystawia nieautoryzowany punkt końcowy pod adresem /CommMng/Print/UploadMailFile, który nie wprowadza odpowiedniej walidacji typu pliku ani kontroli dostępu. Atakujący może przesyłać dowolne pliki, w tym skrypty wykonywalne, co umożliwia zdalne wykonanie kodu na serwerze.

W systemie Bian Que Feijiu Intelligent Emergency and Quality Control występuje nieautoryzowana podatność na wstrzykiwanie SQL w punkcie końcowym GetLyfsByParams. Problem wynika z niewłaściwego oczyszczania danych wejściowych w parametrze strOpid, co umożliwia atakującym wstrzykiwanie dowolnych poleceń SQL.

Podatność na wstrzyknięcie poleceń w Dahua EIMS w wersjach przed 2240008 pozwala nieuwierzytelnionym zdalnym atakującym na wykonanie dowolnych poleceń systemowych poprzez interfejs capture_handle.action. Luka wynika z niewłaściwej walidacji parametru captureCommand, który jest przetwarzany bez sanityzacji i uwierzytelnienia. Wysyłając spreparowane żądania HTTP, atakujący mogą wstrzyknąć polecenia systemowe wykonywane na serwerze, prowadząc do pełnego przejęcia systemu.

QiAnXin TianQing Management Center w wersjach do 6.7.0.4130 włącznie zawiera podatność na path traversal w komponencie rptsvr, która pozwala nieuwierzytelnionym atakującym na przesyłanie plików do dowolnych lokalizacji na serwerze. Punkt końcowy /rptsvr/upload nie sanityzuje parametru filename w żądaniach multipart form-data, umożliwiając path traversal. Pozwala to atakującym na umieszczanie plików wykonywalnych w katalogach dostępnych z sieci, co może prowadzić do zdalnego wykonania kodu.

LiveBOS, zorientowany obiektowo zestaw oprogramowania pośredniczącego do architektury biznesowej firmy Apex Software Co., Ltd., zawiera podatność na dowolne przesyłanie plików w punkcie końcowym UploadFile.do;.js.jsp. Luka dotyczy komponentu LiveBOS Server i pozwala nieuwierzytelnionym zdalnym atakującym na przesyłanie spreparowanych plików poza zamierzoną strukturę katalogów poprzez path traversal w parametrze filename. Udana eksploatacja może prowadzić do zdalnego wykonania kodu na serwerze, umożliwiając pełne przejęcie systemu.

H3C Intelligent Management Center (IMC) w wersjach do E0632H07 włącznie zawiera podatność na zdalne wykonanie poleceń w punkcie końcowym /byod/index.xhtml. Niewłaściwe przetwarzanie JSF ViewState pozwala nieuwierzytelnionym atakującym na tworzenie żądań POST ze sfałszowanymi parametrami javax.faces.ViewState, co może prowadzić do wykonania dowolnych poleceń. Luka nie wymaga uwierzytelnienia i może być wykorzystana bez ciasteczek sesyjnych.

Podatność typu path traversal w platformie Dahua Smart Park Integrated Management Platform (znanej również jako Dahua Smart Campus Integrated Management Platform) dotyczy interfejsu przesyłania map GIS opartego na SOAP. Umożliwia nieuwierzytelnionym zdalnym atakującym przesyłanie dowolnych plików na serwer, w tym plików JSP, co może prowadzić do zdalnego wykonania kodu (RCE) i pełnego przejęcia systemu. Podatność dotyczy wersji wydanych przed wrześniem 2023 roku, a nowsze wersje zawierają poprawkę.