CVE Vulnerability Catalog

W podatności CVE-2025-24683 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Chill RSVP i Event Management. Problem dotyczy wersji RSVP i Event Management od n/a do 2.7.14 włącznie.

W podatności CVE-2025-24672 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w narzędziu Form Builder CP w wersjach od n/a do 1.2.41.

Podatność CVE-2025-24669 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji SERPed.net w wersjach od n/a do 4.4.

W podatności CVE-2025-24663 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Simple Download Monitor w wersjach od n/a do 3.9.25.

W podatności CVE-2025-24659 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce Shahjada WPDM – Premium Packages. Problem dotyczy wersji WPDM – Premium Packages od n/a do 5.9.6.

W podatności CVE-2025-24636 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce MachForm Shortcode, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji MachForm Shortcode od n/a do 1.4.1.

W podatności CVE-2025-24587 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Nks Email Subscription Popup. Problem dotyczy wersji od n/a do 1.2.23 włącznie.

Podatność CVE-2025-24570 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Atarim. Problem ten dotyczy wersji Atarim od n/a do 4.0.8.

W podatności CVE-2025-24562 występuje problem Cross-Site Request Forgery (CSRF) w Optimal Access KBucket, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji KBucket od n/a do 4.1.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w ReviewsTap umożliwia przechowywanie ataków XSS. Problem dotyczy wersji ReviewsTap od n/a do 1.1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w systemie Subscription DNA umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Subscription DNA od n/a do 2.1 włącznie.

LibVNCServer w wersji 0.9.12 i wcześniejszych zawiera podatność na przepełnienie bufora w stercie w funkcji HandleCursorShape() w pliku libvncclient/cursor.c. Atakujący może wysłać kształty kursora o specjalnie przygotowanych wymiarach, co może prowadzić do zdalnego wykonania kodu.

ASTEVAL to evaluator wyrażeń i instrukcji Pythona. Przed wersją 1.0.6, jeśli atakujący ma kontrolę nad wejściem do biblioteki `asteval`, może obejść jej ograniczenia i wykonać dowolny kod Pythona w kontekście aplikacji korzystającej z tej biblioteki. Podatność wynika z nieprawidłowego przetwarzania węzłów AST `FormattedValue`.

Updatecli to narzędzie służące do stosowania strategii aktualizacji plików. Przed wersją 0.93.0, dane uwierzytelniające do prywatnego repozytorium maven mogły być ujawniane w logach aplikacji w przypadku nieudanej operacji pobierania.

W systemie Deepin dde-api-proxy do wersji 1.0.19 odkryto problem, który pozwala nieuprzywilejowanym użytkownikom na dostęp do usług D-Bus jako root. Proxy działa jako root i przekazuje wiadomości od lokalnych użytkowników do metod D-Bus, które nie są świadome tej sytuacji.

Podatności związane z hijackowaniem DLL, spowodowane niekontrolowaną ścieżką wyszukiwania w instalatorze USBXpress Win 98SE Dev Kit, mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9498 dotyczy luk w hijackingu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze SDK USBXpress. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9497 dotyczy luk w hijackingu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze USBXpress 4 SDK. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatności na przejęcie DLL wynikające z niekontrolowanej ścieżki wyszukiwania w instalatorze USBXpress Dev Kit mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9495 dotyczy luk w przechwytywaniu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze CP210x VCP dla systemu Windows. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.