CVE Vulnerability Catalog

W podatności CVE-2025-31910 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie BookingPress w wersjach od n/a do 1.1.28.

Podatność typu Cross-Site Request Forgery (CSRF) w JSON Structuring Markup autorstwa Sami Ahmed Siddiqui umożliwia przechowywanie ataków XSS. Problem dotyczy wersji od n/a do 0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Profitshare dla ProfitShare.ro umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji WP Profitshare od n/a do 1.4.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Ebook Downloader od Infoway LLC umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji Ebook Downloader od n/a do 1.0 włącznie.

Raven to otwartoźródłowa platforma do przesyłania wiadomości. Wystąpiła podatność, która pozwalała każdemu zalogowanemu użytkownikowi na wykonanie kodu za pośrednictwem punktu końcowego API. Podatność została naprawiona w wersji 2.1.10.

W przeglądarce Firefox 136 i kliencie pocztowym Thunderbird 136 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.

Po wybraniu złośliwego skrótu `.url` w systemie Windows, może dojść do niezamierzonych przesyłania plików. Ta podatność dotyczy wyłącznie przeglądarki Firefox na systemie Windows, inne systemy operacyjne są odporne na ten problem.

Wyciek deskryptorów plików z serwera fork do procesów zawartości webowej może umożliwić ataki eskalacji uprawnień. Ta podatność została naprawiona w Firefoxie 137 i Thunderbirdu 137.

W przeglądarkach Firefox 136, Thunderbird 136, Firefox ESR 128.8 oraz Thunderbird 128.8 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.

Podatność CVE-2025-3029 dotyczy możliwości ukrycia prawdziwego źródła strony poprzez spreparowany adres URL zawierający specyficzne znaki Unicode, co może prowadzić do ataku spoofingowego. Problem został naprawiony w wersjach Firefox 137, Firefox ESR 128.9, Thunderbird 137 oraz Thunderbird 128.9.

VMware Aria Operations zawiera podatność umożliwiającą lokalne podniesienie uprawnień. Złośliwy użytkownik posiadający lokalne uprawnienia administracyjne może podnieść swoje uprawnienia do poziomu roota na urządzeniu działającym z VMware Aria Operations.

Motyw WordPress Real Estate 7 jest podatny na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w pliku 'template-submit-listing.php' we wszystkich wersjach do 3.5.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Sprzedawcy i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Booster for WooCommerce dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w miejscach, które zazwyczaj sanitizują dane przy użyciu wp_kses, takich jak komentarze, w wersjach do 7.2.4 włącznie. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.

W YayCommerce YayExtra występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji YayExtra od n/a do 1.5.2 włącznie.

Podatność na deserializację niezaufanych danych w aplikacji MDJM Mobile DJ Manager umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Mobile DJ Manager od n/a do 1.7.5.2 włącznie.

W podatności CVE-2025-31024 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji RJ Quickcharts w wersjach od n/a do 0.6.1.

W podatności CVE-2025-31001 w TLA Media GTM Kit, wersje od n/a do 2.4.0, występuje problem z ujawnianiem niepotrzebnych informacji w komunikatach debugowania, co pozwala na odzyskanie osadzonych danych wrażliwych.

Podatność CVE-2025-30924 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Primer MyData dla Woocommerce, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do poniżej 4.2.4.

Podatność CVE-2025-30917 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w WP Wham SKU Generator dla WooCommerce, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji SKU Generator dla WooCommerce od n/a do 1.6.2 włącznie.

Podatność CVE-2025-30910 dotyczy menedżera pobierania CM Download Manager od CreativeMindsSolutions, który pozwala na przeprowadzenie ataku typu 'Path Traversal'. Problem ten występuje w wersjach od n/a do 2.9.6 włącznie.