CVE Vulnerability Catalog

An OS Command Injection vulnerability has been discovered in the AI (Artificial Intelligence) module for Drupal. The flaw allows an attacker to execute arbitrary commands on the server due to improper neutralization of special elements.

Jooby to framework webowy dla Javy i Kotlina. Moduł pac4j io.jooby.internal.pac4j.SessionStoreImpl#get deserializuje nieufne dane, co stanowi podatność.

W systemie Digital China DCME-520 do wersji 20250320 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /usr/local/WWW/function/audit/newstatistics/mon_merge_stat_hist.php. Manipulacja argumentem type_name prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2025-31625 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Useinfluence w wersjach od n/a do 1.0.8.

Podatność typu Cross-Site Request Forgery (CSRF) w edytorze Rich Text Editor umożliwia przechowywanie ataków XSS. Problem dotyczy wersji edytora od n/a do 1.0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w integratorze e-mail PostmarkApp autorstwa Gagana Deepa Singha umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji integratora od n/a do 2.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Varnish WordPress (wersje od n/a do 1.7) umożliwia atakującym przeprowadzanie nieautoryzowanych żądań w imieniu zalogowanych użytkowników.

Podatność CVE-2025-31615 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Contact Forms, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.4 włącznie.

W podatności CVE-2025-31613 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce AB Google Map Travel, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji wtyczki od n/a do 4.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Leadfox dla WordPressa umożliwia atak CSRF. Problem ten dotyczy wersji Leadfox dla WordPressa od n/a do 2.1.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Copy Media URL autorstwa Ashisha Ajani umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.

Podatność CSRF w wtyczce wp-buy Related Posts Widget with Thumbnails umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.2 włącznie.

Wtyczka wp-buy do WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.0.0.1.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Rio Video Gallery umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Rio Video Gallery od n/a do 2.3.6 włącznie.

Wtyczka Uptime Robot dla WordPressa zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.3.

W podatności CVE-2025-31542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce My auctions allegro w wersjach od n/a do 3.6.20.

W podatności CVE-2025-31526 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze portfela Behance. Problem dotyczy wersji menedżera portfela Behance od n/a do 1.7.5 włącznie.

A flaw was found in the OpenShift Lightspeed Service, which is vulnerable to unauthenticated API request flooding. Repeated queries to non-existent endpoints inflate metrics storage and processing, potentially leading to monitoring system degradation and service unavailability.

Podatność CVE-2025-23995 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Tantyyellow, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.0.0.5.

W podatności CVE-2025-31387 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji InstaWP Connect od n/a do 0.1.0.82.