CVE Vulnerability Catalog

W podatności CVE-2025-31458 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Video Embedder, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.7.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w EricH The Visitor Counter umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji The Visitor Counter od n/a do 1.4.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w youtag ShowTime Slideshow umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji ShowTime Slideshow od n/a do 1.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji Krzysztofa Furtaka 'KK I Like It' umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji aplikacji od n/a do 1.7.5.3 włącznie.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce Strategy11 Team Terms of Use w wersji od n/a do 2.0 umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności warunków użytkowania.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Efficient Scripts Microblog Poster umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Microblog Poster od n/a do 2.1.6 włącznie.

Podatność CVE-2025-31432 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji Pop-Up Chop Chop od n/a do 2.1.7 włącznie.

Wtyczka Administrator Z dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji adminz_import_backup() we wszystkich wersjach do 2025.03.24. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.

Podatność CVE-2025-31102 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Bob Hostel, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Hostel od n/a do 1.1.5.5 włącznie.

W podatności CVE-2025-31099 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Slider by BestWebSoft w wersjach od n/a do 1.1.0.

W urządzeniach HGW-BL1500HM w wersji 002.002.003 i wcześniejszych występuje problem z nieprawidłowym ograniczeniem ścieżki do zastrzeżonego katalogu ('Path Traversal') w procesie usuwania plików w funkcji udostępniania plików z pamięci USB. Wykorzystanie tej podatności może pozwolić atakującemu na usunięcie pliku z urządzenia lub spowodowanie stanu odmowy usługi (DoS).

W procesie przesyłania plików przez funkcję udostępniania plików z pamięci USB w urządzeniu HGW-BL1500HM w wersji 002.002.003 i wcześniejszych występuje problem z niewłaściwym ograniczeniem ścieżki do zastrzeżonego katalogu ('Path Traversal'). Wykorzystanie tej podatności może prowadzić do uzyskania lub modyfikacji plików urządzenia oraz wykonania dowolnego kodu za pomocą odpowiednio skonstruowanego żądania HTTP.

Data::Entropy dla Perla w wersji 0.007 i wcześniejszych używa funkcji rand() jako domyślnego źródła entropii, co nie jest kryptograficznie bezpieczne dla funkcji kryptograficznych.

W podatności CVE-2025-26956 występuje brak autoryzacji w wtyczce Traveler od shinetheme. Problem ten dotyczy wersji Traveler od n/a do poniżej 3.2.1.

W podatności CVE-2025-26890 występuje niewłaściwe kontrolowanie nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem dotyczy wtyczki HUSKY w wersjach od n/a do 1.3.6.4.

W podatności CVE-2025-26874 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji MemberSpace od n/a do 2.1.13 włącznie.

W podatności CVE-2025-26733 występuje brak autoryzacji w wtyczce Traveler od shinetheme. Problem ten dotyczy wersji Traveler od n/a do poniżej 3.2.1.

Podatność polega na niewłaściwym rozwiązywaniu linków przed dostępem do plików oraz niewłaściwym ograniczeniu ścieżki do zastrzeżonego katalogu. Występuje podczas ekstrakcji złośliwie skonstruowanego pliku tar, co może prowadzić do nieautoryzowanego zapisu lub nadpisania plików poza zamierzonym katalogiem ekstrakcji.

W jądrze systemu Linux zidentyfikowano podatność związana z użyciem po zwolnieniu pamięci (UAF) podczas wylogowywania sesji iSCSI, gdy inny proces uzyskuje dostęp do atrybutu adresu IP hosta. Problem ten został rozwiązany w aktualizacji.

In the Linux kernel, the OverlayFS filesystem used the flexible array 'buf' as the memcpy() destination to avoid a false positive runtime warning from the recent FORTIFY_SOURCE hardening. The issue involved a field-spanning write to the fh->fb structure.