Katalog podatności CVE

Zdalny, nieautoryzowany atakujący, który zdołał obejść uwierzytelnienie, może wykonywać dowolne polecenia systemowe w urządzeniach Mitsubishi Electric smartRTU. To może prowadzić do ujawnienia, manipulacji, zniszczenia lub usunięcia informacji, a także do stanu odmowy usługi.

Platforma zarządzania IoT Aikaan w wersji v3.25.0325-5-g2e9c59796 umożliwia wyłączenie rejestracji użytkowników w rozproszonych wdrożeniach poprzez ukrycie opcji rejestracji na stronie logowania. Mimo to, punkt końcowy API do rejestracji pozostaje publicznie dostępny, co pozwala nieautoryzowanym użytkownikom na tworzenie kont nawet przy wyłączonej funkcji.

CVE-2025-57754 dotyczy wtyczki eslint-ban-moment, która w wersji 3.0.0 i wcześniejszych ujawnia wrażliwy URI Supabase w pliku .env. Ujawnienie tego URI umożliwia atakującemu pełny nieautoryzowany dostęp do bazy danych oraz danych użytkowników.

W systemie TitanHQ SpamTitan Email Security Gateway w wersjach 8.00.x przed 8.00.101 oraz 8.01.x przed 8.01.14 odkryto problem. Plik quarantine.php w interfejsie SpamTitan pozwala nieautoryzowanym użytkownikom na wywoływanie działań na poziomie konta za pomocą spreparowanego żądania GET, co prowadzi do automatycznego tworzenia rekordu użytkownika bez wymogu uwierzytelnienia.

W API Roadcute w wersji 1 występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu. Problem ten wynika z niewłaściwej walidacji tożsamości osoby żądającej w punkcie końcowym resetowania hasła.

Podatność CVE-2025-53251 wtyczki Pin WP pozwala na nieograniczone przesyłanie plików o niebezpiecznym typie, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Pin WP od n/a do poniżej 7.2.

Wtyczka WP Webhooks dla WordPressa jest podatna na kopiowanie dowolnych plików z powodu braku walidacji danych wejściowych dostarczanych przez użytkownika we wszystkich wersjach do 3.3.5 włącznie. Umożliwia to nieautoryzowanym atakującym kopiowanie dowolnych plików na serwerze dotkniętej witryny.

Złośliwy klient może obejść sprawdzanie zaufania certyfikatu klienta na serwerze opc.https, gdy punkt końcowy serwera jest skonfigurowany do zezwalania tylko na bezpieczną komunikację.

W aplikacji UISP występuje podatność typu Server-Side Request Forgery (SSRF), która może umożliwić złośliwemu użytkownikowi z odpowiednimi uprawnieniami wykonywanie żądań poza zakresem aplikacji UISP.

W UniFi Connect EV Station Pro występuje podatność związana z brakiem uwierzytelnienia dla krytycznej funkcji, która może umożliwić złośliwemu użytkownikowi z fizycznym lub sąsiednim dostępem przeprowadzenie nieautoryzowanego resetu fabrycznego.

W UniFi Connect EV Station Lite występują liczne podatności związane z niewłaściwą walidacją danych wejściowych, które mogą umożliwić atak typu Command Injection osobie złośliwej mającej dostęp do sieci UniFi Connect EV Station Lite.

Wersja radar v1.0.8 zawiera błędne zarządzanie dostępem, co pozwala atakującym na ominięcie uwierzytelnienia i dostęp do wrażliwych interfejsów API bez tokena.

W dts-shop w wersji 0.0.1-SNAPSHOT występuje nieprawidłowa kontrola dostępu, która pozwala atakującym na ominięcie uwierzytelnienia poprzez wysłanie spreparowanego ładunku do /admin/auth/index.

W wersji 1.3 biblioteki jeewx-boot występuje podatność na obejście uwierzytelniania w funkcji preHandle. Ta luka może pozwolić atakującym na uzyskanie dostępu do chronionych zasobów bez odpowiednich uprawnień.

W Jantent w wersji 1.1 występuje nieprawidłowa kontrola dostępu, która pozwala atakującym na ominięcie uwierzytelnienia i dostęp do wrażliwych interfejsów API bez tokena.

W oficjalnym pakiecie źródłowym ProFTPD 1.3.3c, dystrybuowanym między 28 listopada a 2 grudnia 2010 roku, umieszczono złośliwe backdoory. Backdoor implementuje ukryte polecenie FTP, które po wywołaniu pozwala na zdalne wykonanie dowolnych poleceń systemowych z uprawnieniami roota.

W podatności CVE-2025-54726 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce jquery-archive-list-widget. Problem dotyczy wersji JS Archive List od n/a do poniżej 6.1.6.

Podatność CVE-2025-54713 dotyczy menedżera rezerwacji taksówek dla WooCommerce, który pozwala na obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 1.3.0 włącznie.

Podatność CVE-2025-54677 dotyczy wtyczki vcita Online Booking & Scheduling Calendar dla WordPress, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to wykorzystanie złośliwych plików przez atakujących.