CVE Vulnerability Catalog

The Open eClass platform before version 4.2 contains an arbitrary file upload vulnerability in the theme import functionality. An attacker with administrative privileges can upload arbitrary files to the server because files inside the ZIP archive are not validated or sanitized. This leads to remote code execution on the web server. Version 4.2 patches the issue.

RustFS before version 1.0.0-alpha.79 has a vulnerability in the ImportIam admin API that incorrectly validates permissions using ExportIAMAction instead of ImportIAMAction. This allows a principal with export-only IAM permissions to perform import operations. Since importing IAM data performs privileged write actions (creating/updating users, groups, policies, and service accounts), this can lead to unauthorized IAM modification and privilege escalation. Version 1.0.0-alpha.79 fixes the issue.

An External Control of File Name or Path vulnerability in smb4k before version 4.0.5 allows local users to perform a local root exploit via smb4k mounthelper if they can access and control the contents of a Samba share.

W Ansible Automation Platform (AAP) wykryto lukę, która pozwala na wykonywanie operacji zapisu za pomocą tokenów OAuth2 o ograniczonym dostępie do odczytu. Mimo że tokeny te są egzekwowane na poziomie bramy dla operacji specyficznych dla bramy, luka ta umożliwia ich wykorzystanie do modyfikacji usług backendowych.

A flaw was identified in the NTLM authentication handling of the libsoup HTTP library, used by GNOME and other applications for network communication. When processing extremely long passwords, an internal size calculation can overflow due to improper use of signed integers, resulting in incorrect memory allocation on the stack and unsafe memory copying. Applications using libsoup may crash unexpectedly, creating a denial-of-service risk.

A message out-of-bounds read vulnerability in Trend Micro Apex Central could allow a remote attacker to create a denial-of-service condition on affected installations. Please note: authentication is not required in order to exploit this vulnerability.

A message unchecked NULL return value vulnerability in Trend Micro Apex Central could allow a remote attacker to create a denial-of-service condition on affected installations. Please note: authentication is not required in order to exploit this vulnerability.

NeuVector obsługuje uwierzytelnianie logowania za pomocą OpenID Connect, jednak w domyślnej konfiguracji nie wymusza weryfikacji TLS, co może prowadzić do ataków typu man-in-the-middle (MITM).

NiceGUI versions 2.22.0 to 3.4.1 have an unsafe implementation in the pushstate event listener used by ui.sub_pages, allowing an attacker to manipulate the fragment identifier of the URL, even cross-site, using an iframe. This issue has been patched in version 3.5.0.

Podatność CVE-2025-68892 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Scroll rss excerpt w wersjach od n/a do 5.0.

W podatności CVE-2025-68891 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki WP App Bar w wersjach od n/a do 1.5 włącznie.

Podatność CVE-2025-68890 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie hands01 e-shops e-shops-cart2. Problem ten dotyczy wersji od n/a do 1.0.4 włącznie.

W podatności CVE-2025-68889 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Pinpoll. Problem dotyczy wersji Pinpoll od n/a do 4.0.0 włącznie.

Wtyczka WP-BusinessDirectory w CMSJunkie dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 4.0.1.

Podatność typu Cross-site Scripting (XSS) w widgecie Shahjada Visitor Stats pozwala na odzwierciedlone ataki XSS. Problem dotyczy wersji widgeciku od n/a do 1.5.0 włącznie.

W podatności CVE-2025-68873 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji PRIMER od chloédigital w wersjach od n/a do 1.0.25.

W podatności CVE-2025-67937 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Hendon. Problem dotyczy wersji Hendon od n/a do poniżej 1.7.

W podatności CVE-2025-67936 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Mikado-Themes Curly curly. Problem ten dotyczy wersji Curly od n/a do poniżej 3.3.

W podatności CVE-2025-67935 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w Mikado-Themes Optimize. Problem ten dotyczy wersji Optimize od n/a do poniżej 2.4.

W podatności CVE-2025-67934 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Wellspring. Problem ten dotyczy wersji Wellspring od n/a do poniżej 2.8.