CVE Vulnerability Catalog

W podatności CVE-2025-23535 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce REAL WordPress Sidebar w wersjach od n/a do 0.1. Problem ten umożliwia przechowywanie złośliwego skryptu w sidebarze.

W podatności CVE-2025-23512 występuje brak autoryzacji w zespole 118GROUP Agent, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.6.0 włącznie.

Podatność CVE-2025-23509 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HyperComments, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji HyperComments od n/a do 0.9.6 włącznie.

W podatności CVE-2025-23507 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Blrt WP Embed, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Blrt WP Embed od n/a do 1.6.9 włącznie.

Podatność CVE-2025-23506 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP IMAP Auth, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 4.0.1 włącznie.

Podatność CVE-2025-23503 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Customizable Captcha i formularzu Kontakt. Problem ten dotyczy wersji od n/a do 1.0.2.

W podatności CVE-2025-23500 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Simple Custom post type custom field simple-content-construction-kit w wersjach od n/a do 1.0.3.

Podatność CVE-2025-23498 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Translation.Pro w wersjach od n/a do 1.0.0. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-23495 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WooCommerce Order Search, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 1.1.0 włącznie.

Podatność CVE-2025-23475 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji fireantology History timeline. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 0.7.2 włącznie.

W podatności CVE-2025-23462 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce FWD Slider, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji FWD Slider od n/a do 1.0 włącznie.

Podatność CVE-2025-23449 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple shortcode buttons. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.3.2.

Podatność CVE-2025-22772 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Mapbox for WP Advanced w wersjach od n/a do 1.0.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

NextEPC MME version 1.0.1 and earlier contains a stack-based buffer overflow vulnerability in the Emergency Number List decoding method. An attacker can send a NAS message with an oversized Emergency Number List value, overwriting the stack with arbitrary bytes.

W oprogramowaniu układowym UD-LT2 w wersji 1.00.008_SE i wcześniejszych występuje problem z włączeniem niedokumentowanych funkcji. Zdalny atakujący może wyłączyć funkcję zapory sieciowej po stronie LAN oraz otworzyć określone porty.

W firmware UD-LT2 w wersji 1.00.008_SE i wcześniejszych występuje problem z niewłaściwym neutralizowaniem specjalnych elementów używanych w poleceniach systemowych, co prowadzi do podatności na atak typu 'OS Command Injection'. Atakujący, logując się na konto administracyjne, może manipulować żądaniami dla określonej operacji ekranowej, co pozwala na wykonanie dowolnego polecenia systemowego.

A vulnerability in `podman build` and `buildah` allows container breakout via a race condition with --jobs=2 when building a malicious Containerfile. Even with SELinux enabled, it allows enumeration of files and directories on the host.

Podatność CVE-2025-23083 pozwala na przechwycenie zdarzeń związanych z tworzeniem wątków roboczych w Node.js, co może prowadzić do wykorzystania wewnętrznych wątków w sposób złośliwy. Dotyczy to użytkowników modelu uprawnień w wersjach Node.js v20, v22 i v23.

W funkcji decode_access_point_name_ie w Magma w wersjach do 1.8.0 (naprawione w wersji 1.9) występuje osiągalne założenie, które pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) za pomocą spreparowanego pakietu NAS.

In the setActualDefaultRingtoneUri method of RingtoneManager.java, there is a possible way to bypass content providers read permissions due to a missing permission check. This could lead to local escalation of privilege with no additional execution privileges needed.