CVE Vulnerability Catalog

In the Linux kernel, a vulnerability was found in the asix_devices driver for USB Ethernet devices. During MDIO bus initialization, the PHY address was not masked to 5 bits, potentially allowing invalid addresses and causing a shift-out-of-bounds exception.

In the GVE driver in the Linux kernel, a vulnerability allows ethtool operations to be invoked after shutdown(), causing dereference of freed pointers and leading to a kernel panic.

In the Linux kernel for the s390 architecture, a vulnerability was found where the identity mapping always includes the lowcore area, even when the relocate_lowcore option is set. This causes double mapping of lowcore and allows NULL pointer accesses to succeed instead of causing an exception.

In the Linux kernel, a double-free vulnerability was found in the DRM driver for Intel Xe GPUs (drm/xe) in the xe_vm_bind_ioctl function. When an array bind argument check fails, the bind_ops structures are freed twice, leading to a system crash.

W podatności CVE-2025-58214 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączenie pliku. Problem ten dotyczy wersji Indutri od n/a do poniżej 1.3.0.

Podatność CVE-2025-58206 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji MaxCoach od n/a do 3.2.5.

W podatności CVE-2025-57889 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RealMag777 InPost Gallery. Problem dotyczy wersji InPost Gallery od n/a do 2.1.4.5 włącznie.

W podatności CVE-2025-53307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Beaver Builder WordPress Assistant, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji WordPress Assistant od n/a do 1.5.2.

Podatność typu Path Traversal w wtyczce WooCommerce Payment Gateway for Saferpay pozwala na nieautoryzowany dostęp do plików systemowych. Dotyczy to wersji od n/a do 0.4.9.

Podatność typu Cross-Site Request Forgery (CSRF) w odtwarzaczu muzyki Floating Window Music Player pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 3.4.2 włącznie.

W wersjach ScienceLogic SL1 przed 12.1.1 występuje podatność na SQL Injection poprzez parametr w żądaniu. Dostawca kwestionuje ten opis, twierdząc, że 'niedokładnie opisuje podatność'.

W podatności CVE-2025-58881 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce New Simple Gallery w wersjach od n/a do 8.0.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Corner Quick Event Calendar umożliwia wykonanie ataku typu Stored XSS. Problem dotyczy wersji Quick Event Calendar od n/a do 1.4.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Enable Latex od KaizenCoders umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Enable Latex od n/a do 1.2.16 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Add to Feedly pozwala na wykonanie ataku typu Stored XSS. Problem dotyczy wersji Add to Feedly od n/a do 1.2.11 włącznie.

Podatność CVE-2025-58857 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w module Table of content w wersjach od n/a do 1.5.3.1. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript, który może być wykonany w przeglądarkach użytkowników.

Podatność CVE-2025-58855 dotyczy niewłaściwej neutralizacji elementów formuły w pliku CSV w wtyczce AP HoneyPot dla WordPressa, co umożliwia atak typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Ultimate AJAX Login autorstwa Samera Bechara umożliwia wystąpienie odzwierciedlonego ataku XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Popping Sidebars and Widgets Light umożliwia odzwierciedlone ataki XSS. Problem dotyczy wersji wtyczki od n/a do 1.27 włącznie.

W podatności CVE-2025-58852 występuje problem Cross-Site Request Forgery (CSRF) w menedżerze lig MSTW autorstwa Marka O'Donnella, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji MSTW League Manager od n/a do 2.10 włącznie.