CVE Vulnerability Catalog

W podatności CVE-2025-30960 występuje brak autoryzacji w wtyczce FS Poster, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji FS Poster od n/a do 6.5.8.

A vulnerability in the Linux kernel USB xHCI driver for NEC uPD720200 controllers was found. Missing chain bit in Link TRBs for isochronous endpoints causes IOMMU faults and ring segment skipping, potentially leading to data being written to random buffers.

In the bcachefs filesystem in the Linux kernel, bugs were found in bch2_ioctl_subvolume_destroy(). The bch2_evict_subvolume_inodes() function hung due to incorrect dcache pruning, and permissions checks were missing.

W podatności CVE-2024-52281 w SUSE Rancher występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co pozwala złośliwemu aktorowi na przeprowadzenie ataku typu Stored XSS poprzez pole opisu klastra. Problem dotyczy wersji Rancher od 2.9.0 do przed 2.9.4.

Podatność CVE-2025-32923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce GoodLayers Tourmaster, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Tourmaster od n/a do poniżej 5.4.1.

Podatność CVE-2025-30984 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w narzędziach SEO Dzynit. Problem ten dotyczy wersji od n/a do 4.0.7 włącznie.

Podatność CVE-2025-30970 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Easy Contact w wersjach od n/a do 0.1.2. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

W podatności CVE-2025-27011 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Booking and Rental Manager w wersjach od n/a do 2.2.8.

W podatności CVE-2025-27008 występuje brak autoryzacji w aplikacji NotFound Unlimited Timeline, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Unlimited Timeline od n/a do poniżej 1.6.1.

W podatności CVE-2025-26953 wtyczki Crocoblock JetMenu występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetMenu od n/a do 2.4.9 włącznie.

W podatności CVE-2025-26908 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Gurmehub Kargo Entegratör. Problem dotyczy wersji Kargo Entegratör od n/a do 1.1.14.

Podatność typu Cross-Site Request Forgery (CSRF) w Arkhe od looswebstudio umożliwia lokalne włączenie plików PHP. Problem ten dotyczy wersji Arkhe od n/a do 3.12.0 włącznie.

Podatność CVE-2025-26746 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Advanced Custom Fields: Link Picker Field w wersjach od n/a do 1.2.8. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

Podatność CVE-2025-26730 dotyczy ujawnienia wrażliwych informacji systemowych w Macro Calculator z opcją subskrypcji e-mail dla administratora. Problem ten występuje w wersjach od n/a do 1.0.

Podatność CVE-2025-22263 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w NotFound Global Gallery, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji Global Gallery od n/a do 8.8.0.

Vulnerability in the MySQL Connectors product of Oracle MySQL (component: Connector/J). Supported versions that are affected are 9.0.0-9.2.0. Difficult to exploit vulnerability allows low privileged attacker with network access via multiple protocols to compromise MySQL Connectors. Successful attacks of this vulnerability can result in takeover of MySQL Connectors. CVSS 3.1 Base Score 7.5 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H).

make-initrd-ng to narzędzie do kopiowania binariów i ich zależności. Występuje lokalna eskalacja uprawnień, która dotyczy wszystkich użytkowników NixOS, umożliwiająca lokalnemu użytkownikowi stworzenie programu, który zostanie wykonany przez roota podczas zamykania systemu.

TEIGarage to usługa internetowa i RESTful, która umożliwia transformację, konwersję i walidację różnych formatów, koncentrując się na formacie TEI. Usługa konwersji dokumentów zawiera krytyczną podatność na wstrzyknięcie zewnętrznych jednostek XML (XXE), co pozwala atakującemu na odczyt dowolnych plików z systemu plików serwera.

BleachBit to narzędzie do czyszczenia plików, które zwalnia miejsce na dysku i chroni prywatność. Wersje BleachBit dla systemu Windows do 4.6.2 są podatne na atak typu DLL Hijacking, co pozwala na wykonanie dowolnego kodu przez umieszczenie złośliwego pliku DLL o nazwie uuid.dll w określonym folderze.

W systemach infotainment Oncord+ na Androidzie 12, model TS17, występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu przez komponent portu ADB. Dotyczy to sprzętu o numerze części F57L_V3.2_20220301 oraz numerze kompilacji PlatformVER:K24-2023/05/09-v0.01.