CVE Vulnerability Catalog

W podatności CVE-2025-49921 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Crocoblock JetReviews. Problem dotyczy wersji JetReviews od n/a do 3.0.0.

Wielowarstwowa podatność związana z brakiem autoryzacji w MultiVendorX dc-woocommerce-multi-vendor pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji MultiVendorX od n/a do 4.2.23.

Podatność CVE-2025-49911 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WooCommerce Vehicle Parts Finder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.7 włącznie.

W WPGuppy wpguppy-lite występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji WPGuppy od n/a do 1.1.4 włącznie.

W podatności CVE-2025-49378 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Themefic Hydra Booking. Problem ten dotyczy wersji Hydra Booking od n/a do 1.1.10 włącznie.

Podatność CVE-2025-48338 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wtyczce WP Abstracts w wersjach od n/a do 2.7.4.

W podatności CVE-2025-48098 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Ays Pro Survey Maker. Problem dotyczy wersji Survey Maker od n/a do 5.1.8.8 włącznie.

Podatność CVE-2025-48097 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WSAnalytics w wersjach od n/a do 1.1.2. Problem ten umożliwia ataki refleksyjne XSS.

Podatność CVE-2025-48093 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module logowania hasłem Calvaweb. Problem ten występuje w wersji od n/a do 0.2 włącznie.

Podatność CVE-2025-48092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Fix Multiple Redirects w wersjach od n/a do 1.2.3.

W podatności CVE-2025-48091 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AnyComment w wersjach od n/a do 0.3.6. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.

Podatność CVE-2025-48082 w Progress Planner dotyczy nieprawidłowego przypisania uprawnień, co umożliwia eskalację uprawnień. Problem ten występuje w wersjach od n/a do 1.8.0 włącznie.

W podatności CVE-2025-39534 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy aplikacji Terms Dictionary w wersjach od n/a do 1.5.1.

W podatności CVE-2025-32657 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RadiusTheme Testimonial Slider And Showcase Pro w wersjach od n/a do 2.1.7. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność na deserializację niezaufanych danych w Solar Energy od designthemes umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Solar Energy od n/a do 3.5 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Insurance designthemes pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki Insurance od n/a do 3.5 włącznie.

W podatności CVE-2025-30944 w Essekia Tablesome Table Premium występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Tablesome Table Premium od n/a do 1.1.23 włącznie.

Seffaflik w wersji do 0.0.9 jest podatny na ataki symlinkowe z powodu niewłaściwych domyślnych uprawnień nadawanych plikom .kimlik i .seffaflik, które są tworzone z trybem 0777 i 0775. To naraża sekrety na dostęp innych lokalnych użytkowników.

In the Linux kernel's NFS filesystem, there is a potential data corruption vulnerability. During request retransmission, subrequests must be rejoined to the head request, but in some cases they are not, leading to data corruption.

In the Linux kernel, there is an out-of-bounds access vulnerability in ipv6_find_tlv(). The option length (optlen) is fetched without checking if there is more than one byte to parse, which can lead to out-of-bounds access.