CVE Vulnerability Catalog

An integer overflow in ext4fs_read_symlink in Das U-Boot before version 2025.01-rc1 occurs during memory allocation for an ext4 filesystem with an inode size of 0xffffffff, resulting in a malloc of zero and memory overwrite.

Discord-Bot-Framework-Kernel to framework bota Discord, który umożliwia wykonywanie kodu przesłanego przez użytkowników. W wyniku tej podatności, złośliwy kod może zostać uruchomiony, co pozwala na wykradanie tokenów bota oraz przeprowadzanie ataków DDoS.

W podatności CVE-2025-22663 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co umożliwia atak typu Path Traversal w systemie videowhisper Paid Videochat Turnkey Site w wersjach od n/a do 7.2.12. Atakujący może uzyskać dostęp do nieautoryzowanych plików w systemie.

W podatności CVE-2025-22657 występuje brak autoryzacji w aplikacji Atarim, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji Atarim od n/a do 4.0.9.

W podatności CVE-2025-22656 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia pliku. Problem ten dotyczy wersji Cookie Monster od n/a do 1.2.2 włącznie.

W podatności CVE-2025-22639 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Distance Rate Shipping dla WooCommerce w wersjach od n/a do 1.3.4.

Home Assistant Core, oprogramowanie do automatyzacji domu, ma problem z brakiem weryfikacji certyfikatów SSL w kodzie oraz używanych bibliotekach. W wyniku migracji do `aiohttp` 3.0, niektóre integracje mogą nieprawidłowo wyłączać weryfikację certyfikatów SSL, co naraża na ataki typu man-in-the-middle.

W Atos Eviden IDRA przed wersją 2.7.1 odkryto problem, w którym wysoko zaufana rola (Config Admin) mogła wykorzystać warunek wyścigu do eskalacji uprawnień.

A vulnerability in the Linux kernel's pfifo_tail_enqueue function allows incrementing the qlen counter without dropping packets when sch->limit is set to 0. This causes a mismatch between parent and child qlen values, potentially enabling user-to-kernel privilege escalation.

W programie HVAC Energy Saving Program odkryto niebezpieczne ładowanie dynamicznych bibliotek, co może umożliwić lokalnym atakującym ujawnienie informacji lub wykonanie dowolnego kodu na podatnych systemach.

Wykryto niebezpieczne ładowanie dynamicznych bibliotek w sterowniku USB-CONVERTERCABLE, co może umożliwić lokalnym atakującym ujawnienie informacji lub wykonanie dowolnego kodu na podatnych systemach.

Wtyczka Reset dla WordPressa jest podatna na atak typu Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.6. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji reset_db_page().

Wtyczka File Uploads Addon dla WooCommerce w WordPressie jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 1.7.1 włącznie, poprzez katalog 'uploads'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych przechowywanych w niebezpieczny sposób w katalogu /wp-content/uploads, który może zawierać załączniki plików przesyłane przez klientów.

Wersje FileMegane powyżej 3.0.0.0, przed 3.4.0.0, zawierają podatność typu server-side request forgery (SSRF). Wykonanie dowolnych żądań do backendowych interfejsów API może prowadzić do ponownego uruchomienia usług.

Podatność CVE-2025-23845 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji ERA404 ImageMeta. Problem ten dotyczy wersji ImageMeta od n/a do 1.1.2 włącznie.

Podatność CVE-2025-23840 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP-NOTCAPTCHA w wersjach od n/a do 1.3.1. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

W CX-Programmer zidentyfikowano podatność typu Out-of-bounds Read (CWE-125). Atakujący mogą wykorzystać tę podatność do odczytu wrażliwych informacji lub spowodować awarię aplikacji.

W podatności CVE-2025-26768 występuje problem Cross-Site Request Forgery (CSRF) w polu adresowym what3words, co pozwala na przechowywanie ataków XSS. Dotyczy to wersji od n/a do 4.0.15 włącznie.

W podatności CVE-2025-26759 występuje problem Cross-Site Request Forgery (CSRF) w menedżerze fragmentów treści alexvtn, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji menedżera fragmentów treści od n/a do 1.1.5 włącznie.

Wtyczka WP Airbnb Review Slider zawiera podatność na SQL Injection, która pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji od n/a do 3.9 włącznie.