CVE Vulnerability Catalog

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 13.9 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł dodać nieautoryzowane adresy e-mail do kont ofiar poprzez wstrzyknięcie HTML w tytułach przypadków testowych.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 10.8 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, nieautoryzowany użytkownik mógł spowodować odmowę usługi, wysyłając powtarzające się zapytania GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.2 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na kradzież tokenów i dostęp do prywatnych repozytoriów poprzez niewłaściwą walidację w Web IDE.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.1 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł wykonać nieautoryzowane działania w imieniu innego użytkownika, wprowadzając złośliwą treść do przepływu kodu podatności.

Podatność CVE-2025-10174 dotyczy oprogramowania PanCafe Pro, które umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. Problem ten występuje w wersjach od < 3.3.2 do 23092025.

Wtyczka 'Videospirecore Theme Plugin' dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.0.6 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak adres e-mail.

Wtyczka Custom Block Builder – Lazy Blocks dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.0, poprzez wiele funkcji w klasie 'LazyBlocks_Blocks'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wykonanie kodu na serwerze.

Podatność CVE-2025-9986 w systemie DIGIKENT firmy Vadi Corporate Information Systems Ltd. Co. umożliwia nieautoryzowany dostęp do wrażliwych informacji systemowych. Problem ten dotyczy systemu do 30 września 2025 roku.

Wtyczka iONE360 configurator dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry formularza kontaktowego we wszystkich wersjach do i włącznie z 2.0.57 z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13651 w Microcom ZeusWeb umożliwia nieautoryzowanym osobom dostęp do wrażliwych informacji systemowych poprzez fingerprinting aplikacji webowej. Problem dotyczy wersji ZeusWeb: 6.1.31.

Podatność CVE-2025-10913 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie TemizlikYolda firmy Saastech Cleaning and Internet Services Inc., co pozwala na ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji TemizlikYolda do 11022026.

Wtyczka Lucky Wheel Giveaway dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.0.22 poprzez parametr conditional_tags. Problem wynika z użycia funkcji eval() w PHP na danych kontrolowanych przez użytkownika bez odpowiedniej walidacji lub sanitizacji.

Zagrożone produkty są podatne na nieobsłużony wyjątek, który może pozwolić nieautoryzowanemu atakującemu na zdalne zablokowanie usług rdzenia PI, co prowadzi do odmowy usługi.

Wersje Lightroom Desktop 15.1 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

A buffer overflow in the AMD Secure Processor (ASP) bootloader allows an attacker to overwrite memory, potentially leading to privilege escalation and arbitrary code execution.

CVE-2025-29950 is caused by improper input validation in System Management Mode (SMM). A privileged attacker could exploit this flaw to overwrite stack memory, potentially leading to arbitrary code execution.

The vulnerability is due to improper input validation in the SMM handler, which could allow an attacker with Ring0 access to write to SMRAM and modify the execution flow during S3 (sleep) wake-up, potentially leading to arbitrary code execution.

Improper validation of system call parameters in the Trusted OS may allow a malicious driver to perform mapping or unmapping operations on a large number of pages, potentially resulting in kernel memory corruption.

MUNGE is an authentication service for creating and validating user credentials. From version 0.5 to 0.5.17, a local attacker can exploit a buffer overflow vulnerability in munged (the MUNGE authentication daemon) to leak cryptographic key material from process memory. With the leaked key material, the attacker could forge arbitrary MUNGE credentials to impersonate any user (including root) to services that rely on MUNGE for authentication.

Wersje DNG SDK 1.7.1 2410 i wcześniejsze są podatne na błąd przepełnienia lub owinięcia liczby całkowitej, co może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej podatności wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.