CVE Vulnerability Catalog

Podatność CVE-2025-32125 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Silvasoft boekhouden w wersjach od n/a do 3.0.6. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

W podatności CVE-2025-32124 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu Blind SQL Injection w menedżerze portfeli Behance. Problem dotyczy wersji menedżera portfeli Behance od n/a do 1.7.5 włącznie.

W podatności CVE-2025-32122 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Stylemix uListing. Problem dotyczy wersji uListing od n/a do 2.2.0.

W podatności CVE-2025-32121 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Video & Photo Gallery dla Ultimate Member. Problem dotyczy wersji od n/a do 1.1.3 włącznie.

W podatności CVE-2025-32120 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Easy Query – WP Query Builder w wersjach od n/a do 2.0.4.

W podatności CVE-2025-32113 występuje luka typu Cross-Site Request Forgery (CSRF) w aplikacji Renzo Tejada Libro de Reclamaciones y Quejas, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji aplikacji od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce OTWthemes Sidebar Manager Light umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji Sidebar Manager Light od n/a do 1.18 włącznie.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co prowadzi do uszkodzenia pamięci jądra systemu.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co pozwala na zapis do dowolnych stron pamięci fizycznej. W określonych okolicznościach, ten exploit może być wykorzystany do uszkodzenia stron danych, które nie są przydzielone przez sterownik GPU.

Podatność CVE-2025-31418 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w noonnoo Gravel, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Gravel od n/a do 1.6.

Podatność CVE-2025-31416 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Awesome Event Booking, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.8.4 włącznie.

W podatności CVE-2025-31405 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce Fami WooCommerce Compare w wersjach od n/a do 1.0.5. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność CVE-2025-31389 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Sequel.io, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Sequel od n/a do 1.0.11 włącznie.

Podatność CVE-2025-31384 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w aplikacji Aviplugins Videos, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Videos od n/a do 1.0.5.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce wpForo Forum pozwala na eskalację uprawnień. Problem dotyczy wersji wpForo Forum od n/a do 2.4.2 włącznie.

W podatności CVE-2025-22282 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji keksdieb ez Form Calculator Premium. Problem dotyczy wersji od n/a do 2.14.1.2 włącznie.

Sterownik jądra, dostępny dla użytkowników o niskich uprawnieniach, udostępnia funkcję, która nieprawidłowo weryfikuje uprawnienia wywołującego proces. To umożliwia tworzenie plików w dowolnych lokalizacjach z pełną kontrolą użytkownika, co ostatecznie pozwala na eskalację uprawnień do poziomu SYSTEM.

Wtyczka Vehica Core dla WordPressa, używana w motywie Vehica - Car Dealer & Listing, jest podatna na eskalację uprawnień we wszystkich wersjach do 1.0.97 włącznie. Problem wynika z niewłaściwej walidacji pól meta użytkownika przed ich aktualizacją w bazie danych.

Niewłaściwa izolacja użytkowników w serwerze M-Files w wersji przed 25.3.14549 pozwala anonimowym użytkownikom wpływać na widoki innych anonimowych użytkowników, co może prowadzić do odmowy usługi.

Obraz Dockera z acme.sh przed wersją 40b6db6 oparty jest na pliku .github/workflows/dockerhub.yml, który nie zawiera opcji 'persist-credentials: false' dla akcji 'checkout'.