CVE Vulnerability Catalog

Wtyczka Barcode Generator dla WooCommerce zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.0.4.

Podatność CVE-2025-31011 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w SimplyRETS Real Estate IDX, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.2.2 włącznie.

Podatność CVE-2025-30962 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce FS Poster w wersjach od n/a do 6.5.8. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-26992 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Landing Page Cat, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.7.8 włącznie.

W podatności CVE-2025-26959 występuje brak autoryzacji w systemie Administrator Z, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Administrator Z od n/a do 2025.03.24.

W podatności CVE-2025-26958 wtyczka JetBlog od Crocoblock występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcjonalności, która nie jest właściwie zabezpieczona przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetBlog od n/a do 2.4.3 włącznie.

Podatność CVE-2025-26954 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce 1pluginjquery ZooEffect, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji ZooEffect od n/a do 1.11 włącznie.

W podatności CVE-2025-26944 występuje brak odpowiednich mechanizmów autoryzacji w wtyczce Crocoblock JetPopup, co pozwala na dostęp do funkcji, które nie są właściwie ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetPopup od n/a do 2.0.11 włącznie.

W Crocoblock JetTricks występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetTricks od n/a do 1.5.1 włącznie.

W podatności CVE-2025-26894 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem ten dotyczy wtyczki Coming Soon, Maintenance Mode w wersjach od n/a do 1.1.1.

Podatność CVE-2025-26889 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w hockeydata LOS w wersjach od n/a do 1.2.4.

Podatność CVE-2025-26743 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Advance WP Query Search Filter w wersjach od n/a do 1.0.10.

W AWEOS GmbH Email Notifications for Updates występuje luka związana z brakiem autoryzacji, która umożliwia eskalację uprawnień. Problem ten dotyczy wersji Email Notifications for Updates od n/a do 1.1.6 włącznie.

A vulnerability was found in the libsoup library in the soup_multipart_new_from_message() function, allowing an out-of-bounds read. A malicious HTTP client can exploit this flaw to force the libsoup server to read memory outside the allocated buffer.

A flaw was found in libsoup, where the soup_message_headers_get_content_disposition() function is vulnerable to a NULL pointer dereference. This allows a malicious HTTP peer to crash a libsoup client or server using this function.

A vulnerability was found in the libsoup library's HTTP/2 server implementation. The server does not fully validate the values of the :scheme, :authority, and :path pseudo-headers, which may allow an attacker to cause a Denial of Service (DoS).

A vulnerability was found in the libsoup library, where the soup_headers_parse_request() function may be vulnerable to an out-of-bounds read. This allows an attacker to crash the HTTP server using a specially crafted HTTP request.

W systemie veal98 小牛肉 Echo w wersji 4.2 odkryto krytyczną podatność, która dotyczy funkcji uploadMdPic w pliku /discuss/uploadMdPic. Manipulacja argumentem editormd-image-file prowadzi do nieograniczonego przesyłania plików.

W wtyczce My auctions allegro w wersjach od n/a do 3.6.33 występuje podatność na atak Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten może prowadzić do nieautoryzowanego wykonania złośliwego kodu w kontekście użytkownika.

Podatność typu przepełnienie bufora w stercie w bibliotece giflib na systemie Linux, związana z plikami programu gif2rgb.C. Dotyczy wersji giflib do 5.2.2.