CVE Vulnerability Catalog

Podatność typu Cross-site Scripting (XSS) w aplikacji Clifton Griffin CGD Arrange Terms pozwala na odzwierciedlone XSS. Problem dotyczy wersji CGD Arrange Terms od n/a do 1.1.3 włącznie.

Podatność CVE-2025-23574 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CubePM, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji CubePM od n/a do 1.0 włącznie.

Podatność CVE-2025-23531 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce RSVPMaker Volunteer Roles. Problem ten dotyczy wersji od n/a do 1.5.1 włącznie.

Podatność typu Path Traversal w Morkva UA Shipping pozwala na lokalne dołączenie plików PHP. Problem ten dotyczy wersji od n/a do 1.0.18 włącznie.

Podatność CVE-2025-23792 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Busters Passwordless WP. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.6.

Podatność CVE-2025-23457 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Shipdeo dla WooCommerce, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Shipdeo od n/a do 1.2.8 włącznie.

Podatność CVE-2025-22513 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Simple Locator, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.0.4 włącznie.

W portalu Red Hat Advanced Cluster Security (RHACS) znaleziono lukę, która pozwala na generowanie elementu tabeli DOM z niezabezpieczonymi danymi. Atakujący mogą wykorzystać tę lukę do wywołania podatności typu cross-site scripting (XSS).

Develocity (wcześniej Gradle Enterprise) w wersjach przed 2024.1.8 ma niewłaściwą kontrolę dostępu. Wprowadzenie konfiguracji kontroli dostępu na poziomie projektu w schemacie konfiguracji Enterprise w wersji 8 nie obejmuje sekcji projektów podczas migracji do wersji 9 i 10, co prowadzi do resetowania ustawień projektów do wartości domyślnych.

Wtyczki Quiz Maker Business, Developer i Agency dla WordPress są podatne na wykonanie dowolnego shortcode'a we wszystkich wersjach do 8.8.0 (Business), 21.8.0 (Developer) oraz 31.8.0 (Agency). Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.

Wtyczki Quiz Maker Business, Developer i Agency dla WordPress są podatne na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'ays_save_google_credentials' w wersjach do 8.8.0 (Business), 21.8.0 (Developer) oraz 31.8.0 (Agency). Umożliwia to nieautoryzowanym atakującym modyfikację danych uwierzytelniających integracji z Google Sheets w ustawieniach wtyczki.

Podatność CVE-2025-0543 dotyczy lokalnego podnoszenia uprawnień w kliencie G DATA Security z powodu nieprawidłowego przypisania uprawnień do katalogów. Umożliwia to lokalnemu, nieuprzywilejowanemu atakującemu eskalację uprawnień poprzez umieszczenie dowolnego pliku wykonywalnego w katalogu, który można zapisać globalnie, co skutkuje jego wykonaniem przez usługę SetupSVC.exe w kontekście SYSTEM.

Podatność CVE-2025-0542 dotyczy lokalnego podwyższania uprawnień z powodu nieprawidłowego przypisania uprawnień do plików tymczasowych w mechanizmie aktualizacji G DATA Management Server. Umożliwia to lokalnemu, nieuprzywilejowanemu atakującemu eskalację uprawnień na dotkniętych instalacjach poprzez umieszczenie spreparowanego archiwum ZIP w globalnie zapisywalnym katalogu, które jest rozpakowywane w kontekście SYSTEM, co prowadzi do możliwości zapisu dowolnych plików.

Wtyczka Custom Product Tabs Lite dla WooCommerce w WordPressie jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 1.9.0, poprzez deserializację niezaufanych danych z parametru 'frs_woo_product_tabs'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Menedżera Sklepu i wyżej wstrzyknięcie obiektu PHP.

Wykryto podatność w Rise Group Rise Mode Temp CPU 2.1, sklasyfikowaną jako krytyczną. Dotyczy ona nieznanej części biblioteki CRYPTBASE.dll komponentu Startup, co prowadzi do nieufnej ścieżki wyszukiwania.

Narzędzie HL7 FHIR IG publisher przed wersją 1.7.4 jest podatne na ataki typu XML external entity injection, co może prowadzić do ujawnienia danych z systemu gospodarza. Złośliwy plik XML z tagiem DTD `( ]>` może umożliwić dostęp do wrażliwych informacji.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce mgplugin Roi Calculator umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Roi Calculator od n/a do 1.0 włącznie.

W podatności CVE-2025-24728 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection. Problem dotyczy biblioteki Bug Library w wersjach od n/a do 2.1.4 włącznie.

W podatności CVE-2025-24683 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Chill RSVP i Event Management. Problem dotyczy wersji RSVP i Event Management od n/a do 2.7.14 włącznie.