CVE Vulnerability Catalog

W podatności CVE-2025-30774 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Ays Pro Quiz Maker. Problem dotyczy wersji Quiz Maker od n/a do 6.6.8.7.

Podatność CVE-2025-30614 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w Google Font Fix w wersjach od n/a do 2.3.1.

Podatność CVE-2025-30607 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Quick Localization w wersjach od n/a do 0.1.0. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript do stron internetowych.

W podatności CVE-2025-30589 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w slajdach zestawów Flickr. Problem dotyczy slajdów zestawów Flickr w wersjach od n/a do 0.9 włącznie.

W podatności CVE-2025-30579 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bramce płatności Pesapal dla WooCommerce. Problem ten dotyczy wersji od n/a do 2.1.0 włącznie.

Podatność CVE-2025-30563 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Tidekey, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Tidekey od n/a do 1.1 włącznie.

Podatność CVE-2025-30559 dotyczy wtyczki Kento WordPress Stats, która pozwala na wystąpienie ataku typu Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

Podatność CVE-2025-30548 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Advanced Post Search, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.1.0 włącznie.

Podatność CVE-2025-30547 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Cards w wersjach od n/a do 1.5.1. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

Podatność CVE-2025-30544 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w grupie OK Poster. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

W podatności CVE-2025-30520 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w crosstec Breezing Forms. Problem dotyczy wersji Breezing Forms od n/a do 1.2.8.11.

Podatność CVE-2025-22277 dotyczy aplikacji Vitepos lite, która pozwala na obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten występuje w wersjach od n/a do 3.1.4 włącznie.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 6.3.1 poprzez katalog 'awesome-support'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych przechowywanych w niebezpieczny sposób w katalogu /wp-content/uploads/awesome-support, który może zawierać załączniki plików do zgłoszeń wsparcia.

Wtyczka Import Export Suite dla danych CSV i XML w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji import_single_post_as_csv() we wszystkich wersjach do 7.19 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Import Export Suite dla danych CSV i XML w WordPressie jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji deleteImage() w wersjach do 7.19 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, usuwanie dowolnych plików na serwerze.

Local privilege escalation through insecure DCOM configuration in Valmet DNA versions prior to C2023. The DCOM object Valmet DNA Engineering has permissions that allow it to run commands as a user with the SeImpersonatePrivilege privilege, allowing an attacker to escalate privileges and take complete control of the system.

W systemach macOS zidentyfikowano warunkową podatność, która pozwala aplikacjom na ominięcie preferencji prywatności. Problem został rozwiązany poprzez dodatkową walidację w wersjach macOS Sequoia 15.4, Sonoma 14.7.5 oraz Ventura 13.7.5.

Problem dotyczy nieautoryzowanego dostępu aplikacji do lokalnej sieci. Został rozwiązany poprzez poprawę sprawdzania uprawnień w Safari 18.4, iOS 18.4, iPadOS 18.4, macOS Sequoia 15.4 oraz visionOS 2.4.

Problem z walidacją został rozwiązany dzięki poprawionej logice. Podatność ta została naprawiona w iOS 18.4, iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, macOS Sonoma 14.7.5, macOS Ventura 13.7.5, tvOS 18.4, visionOS 2.4 oraz watchOS 11.4.

Wykryto problem z zapisem poza dozwolonym zakresem, który został rozwiązany poprzez poprawę sprawdzania granic. Problem ten został naprawiony w macOS Sequoia 15.4, macOS Sonoma 14.7.5 oraz macOS Ventura 13.7.5.