CVE Vulnerability Catalog

W podatności CVE-2025-31378 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Oppso Unit Converter w wersjach od n/a do 1.1.1.

W AnyTrack Affiliate Link Manager występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.4 włącznie.

W podatności CVE-2025-31040 występuje niewłaściwe kontrolowanie nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce WP Food ordering and Restaurant Menu w wersjach od n/a do 2.7. Problem ten może umożliwić atakującym dostęp do wrażliwych plików na serwerze.

Podatność CVE-2025-31028 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Hide Categories, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 1.0 włącznie.

Podatność CVE-2025-31021 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji dolby_uk Mobile Smart, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Mobile Smart od n/a do v1.3.16.

Podatność CVE-2025-31015 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego włączenia plików. Problem ten występuje w wtyczce WordPress SMTP Service, Email Delivery Solved! — MailHawk w wersjach od n/a do 1.3.1.

W podatności CVE-2025-31014 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy Material Dashboard w wersjach od n/a do 1.4.5.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa jest podatna na Local File Inclusion we wszystkich wersjach do 0.1.0.85 włącznie, poprzez parametr 'instawp-database-manager'. Umożliwia to nieautoryzowanym atakującym dołączenie i wykonanie dowolnych plików na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.

W podatności CVE-2025-23010 w kliencie SonicWall NetExtender dla systemu Windows (32 i 64 bity) występuje niewłaściwe rozwiązywanie linków przed dostępem do plików, co pozwala atakującemu na manipulację ścieżkami plików.

W SonicWall NetExtender dla systemu Windows (32 i 64 bity) występuje podatność na lokalne podniesienie uprawnień, która umożliwia atakującemu wywołanie usunięcia dowolnego pliku.

W podatności CVE-2025-23008 występuje niewłaściwe zarządzanie uprawnieniami w kliencie SonicWall NetExtender dla systemu Windows (32 i 64 bity), co pozwala atakującemu o niskich uprawnieniach na modyfikację konfiguracji.

MSI Center w wersjach przed 2.0.52.0 ma brakującą walidację podpisu PE. To może prowadzić do uruchamiania złośliwego oprogramowania bez odpowiednich zabezpieczeń.

MSI Center w wersjach przed 2.0.52.0 umożliwia lokalne podniesienie uprawnień poprzez atak TOCTOU (Time of Check to Time of Use).

Hub sterujący IR Panasonic (IR Blaster) w wersjach 1.17 i wcześniejszych może umożliwić atakującemu z fizycznym dostępem do urządzenia załadowanie nieautoryzowanego oprogramowania układowego.

Podatność CVE-2025-27350 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Hugh Mungus Vice Versa. Problem ten dotyczy wersji Vice Versa od n/a do 2.2.3 włącznie.

W podatności CVE-2025-23386 występuje błąd w domyślnych uprawnieniach w pakiecie gerbera na openSUSE Tumbleweed, który pozwala użytkownikowi serwisu gerbera na eskalację uprawnień do roota. Problem ten dotyczy wersji gerbera przed 2.5.0-1.1.

W podatności CVE-2025-22279 występuje nieprawidłowa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem dotyczy wtyczki JetCompareWishlist w wersjach od n/a do 1.5.9.

Podatność CVE-2025-32687 dotyczy wtyczki Review Stars Count For WooCommerce, która jest podatna na atak typu SQL Injection. Problem występuje w wersjach od n/a do 2.0 włącznie.

W podatności CVE-2025-32668 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie plików. Problem dotyczy menedżera nieruchomości Rameez Iqbal w wersjach od n/a do 7.3.

Podatność CVE-2025-32160 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączania plików. Problem ten występuje w wtyczce EventON w wersjach od n/a do 2.4.1.