CVE Vulnerability Catalog

Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC version 1.06 is vulnerable to a buffer overflow in the /goform/getWifiBasic function. An attacker can exploit this flaw to execute arbitrary code remotely or cause a denial of service.

Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC version 1.06 suffers from command injection vulnerabilities in /bin/goahead. These issues are exploitable via /goform/tracerouteDiagnosis, /goform/pingDiagnosis, and /goform/fromSysToolPingCmd, allowing an attacker with web interface access to execute arbitrary shell commands with root privileges.

In the Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC version 1.06, the /goform/fromSetDDNS request does not properly handle special characters in user-supplied parameters, allowing an attacker with web interface access to inject and execute arbitrary shell commands.

Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC version 1.06 is vulnerable to a buffer overflow via the /goform/fromSetLanDhcpsClientbinding endpoint.

W podatności CVE-2025-24734 występuje brak autoryzacji w wtyczce Better Find and Replace, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 1.6.7 włącznie.

Podatność CVE-2025-24708 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczkach CRM Perks WP Dynamics CRM dla Contact Form 7, WPForms, Elementor, Formidable i Ninja Forms. Problem ten dotyczy wersji od n/a do 1.1.6 włącznie.

Podatność CVE-2025-24680 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w stronie internetowej, co prowadzi do podatności na XSS odzwierciedlone. Problem ten dotyczy wtyczki WP Multistore Locator w wersjach od n/a do 2.4.7.

W podatności CVE-2025-24626 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Music Store. Problem ten dotyczy wersji od n/a do 1.1.19 włącznie.

W podatności CVE-2025-24593 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Edwiser Bridge, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Edwiser Bridge od n/a do 3.0.8 włącznie.

W podatności CVE-2025-23982 występuje brak autoryzacji w kalkulatorze opłat Gopi Krishnan, co pozwala na przechowywanie ataków XSS. Problem dotyczy wersji kalkulatora opłat od n/a do 1.1 włącznie.

W podatności CVE-2025-23756 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie LawPress – zarządzanie stronami internetowymi kancelarii prawnych. Problem ten dotyczy wersji LawPress od n/a do 1.4.5 włącznie.

Podatność CVE-2025-23754 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji The Loops, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji aplikacji od n/a do 1.0.2 włącznie.

Podatność typu Cross-site Scripting (XSS) w aplikacji Clifton Griffin CGD Arrange Terms pozwala na odzwierciedlone XSS. Problem dotyczy wersji CGD Arrange Terms od n/a do 1.1.3 włącznie.

Podatność CVE-2025-23574 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CubePM, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji CubePM od n/a do 1.0 włącznie.

Podatność CVE-2025-23531 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce RSVPMaker Volunteer Roles. Problem ten dotyczy wersji od n/a do 1.5.1 włącznie.

Podatność typu Path Traversal w Morkva UA Shipping pozwala na lokalne dołączenie plików PHP. Problem ten dotyczy wersji od n/a do 1.0.18 włącznie.

Podatność CVE-2025-23792 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Busters Passwordless WP. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.6.

Podatność CVE-2025-23457 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Shipdeo dla WooCommerce, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Shipdeo od n/a do 1.2.8 włącznie.

Podatność CVE-2025-22513 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Simple Locator, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.0.4 włącznie.

W portalu Red Hat Advanced Cluster Security (RHACS) znaleziono lukę, która pozwala na generowanie elementu tabeli DOM z niezabezpieczonymi danymi. Atakujący mogą wykorzystać tę lukę do wywołania podatności typu cross-site scripting (XSS).