CVE Vulnerability Catalog

Podatność CVE-2025-23571 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Internal Links Generator, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 3.51 włącznie.

Podatność CVE-2025-23568 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce WP Login Attempt Log w wersjach od n/a do 1.3 włącznie.

W podatności CVE-2025-23525 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Kv Compose Email From Dashboard w wersjach od n/a do 1.1 włącznie.

Podatność CVE-2025-23523 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w HSS Embed Streaming Video w wersjach od n/a do 3.23. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

W podatności CVE-2025-23492 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce CantonBolo WordPress 淘宝客插件 taobaoke, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 1.1.2.

Podatność CVE-2025-23474 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Live Dashboard, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Live Dashboard od n/a do 0.3.3 włącznie.

Podatność CVE-2025-23431 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Envato Affiliater, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.2.4 włącznie.

W podatności CVE-2025-23428 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce QMean – WordPress Did You Mean, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 2.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Disqus Popular Posts umożliwia wykonanie ataku typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 2.1.1.

Wtyczka Monetag Official Plugin w wersjach od n/a do 1.1.3 zawiera lukę związaną z brakiem autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten może prowadzić do nieautoryzowanego dostępu do zasobów.

Serwer StrongKey FIDO przed wersją 4.15.1 traktuje przepływ non-discoverable (namedcredential) jako transakcję discoverable. Może to prowadzić do nieautoryzowanego dostępu do danych uwierzytelniających.

W interfejsie zarządzania opartym na sieci web urządzeń GatesAir Maxiva UAXT i VAXT występuje krytyczna podatność na zdalne wykonanie kodu (RCE) w trybie debugowania. Atakujący posiadający ważny identyfikator sesji (sess_id) mogą wysyłać specjalnie skonstruowane żądania POST do punktu końcowego /json, co umożliwia wykonanie dowolnych poleceń na systemie.

W interfejsie zarządzania opartym na sieci web dla nadajników GatesAir Maxiva UAXT i VAXT występuje krytyczna podatność na ujawnienie informacji z powodu nieprawidłowej kontroli dostępu. Nieautoryzowani atakujący mogą uzyskać bezpośredni dostęp do wrażliwych plików kopii zapasowej bazy danych poprzez publicznie dostępne adresy URL.

W interfejsie zarządzania opartym na sieci web dla nadajników GatesAir Maxiva UAXT i VAXT występuje podatność na przejęcie sesji. Nieautoryzowani atakujący mogą uzyskać dostęp do wystawionych plików dziennika, co może ujawnić wrażliwe informacje związane z sesją, takie jak identyfikatory sesji i tokeny sukcesu uwierzytelnienia.

Atakujący może wykorzystać specjalnie przygotowany skrypt Pythona do wysyłania ciągłych poleceń startMeasurement przez niezaszyfrowane połączenie Bluetooth do podatnego urządzenia. To uniemożliwi połączenie urządzenia z aplikacją klinicysty w celu pobrania danych pacjenta, co prowadzi do stanu odmowy usługi.

Wersja 4.8.2 systemu Wazuh SIEM jest podatna na lukę w kontroli dostępu. Problem ten umożliwia nieautoryzowane tworzenie wewnętrznych użytkowników bez przypisywania jakiejkolwiek istniejącej roli użytkownika, co może prowadzić do eskalacji uprawnień lub nieautoryzowanego dostępu do wrażliwych zasobów.

Podatność CVE-2024-11347 dotyczy przepełnienia lub owinięcia liczb całkowitych w modułach interpreterów Postscript w urządzeniach Lexmark International CX, XC, CS i innych. Umożliwia to atakującemu wykonanie dowolnego kodu jako użytkownik bez uprawnień.

W podatności CVE-2024-11346 występuje problem z dostępem do zasobów przy użyciu niekompatybilnego typu ('Type Confusion') w modułach interpreterów Postscript w urządzeniach Lexmark International CX, XC, CS i innych. Umożliwia to wstrzykiwanie zasobów.

Zidentyfikowano podatność opartą na pamięci sterty w interpreterze Postscript w różnych urządzeniach Lexmark. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.

Zidentyfikowano podatność typu confusion w interpreterze Postscript w różnych urządzeniach Lexmark. Podatność ta może być wykorzystana przez atakującego do wykonania dowolnego kodu.