CVE Vulnerability Catalog

Podatność CVE-2025-22710 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Smart Manager dla WordPressa. Problem ten dotyczy wersji Smart Manager od n/a do 8.52.0.

W podatności CVE-2025-22709 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w oprogramowaniu Verge3D od Soft8Soft LLC. Problem dotyczy wersji od n/a do 4.8.0 włącznie.

Podatność CVE-2025-22706 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Social Pug: Author Box, co umożliwia ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.0.0.

W podatności CVE-2025-22322 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce DeluxeThemes Private Messages dla UserPro. Problem ten dotyczy wersji Private Messages for UserPro od n/a do 4.10.0 włącznie.

Wtyczka Standard Box Sizes – for WooCommerce zawiera lukę w autoryzacji, która może być wykorzystana przez nieautoryzowanych użytkowników. Problem dotyczy wersji od n/a do 1.6.13.

W podatności CVE-2025-22311 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Dotyczy to wtyczki Private Messages for UserPro w wersjach od n/a do 4.10.0.

W podatności CVE-2024-49700 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ARPrice, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji ARPrice od n/a do 4.1.3 włącznie.

Podatność na deserializację niezaufanych danych w ARPrice umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji ARPrice od n/a do 4.1.3 włącznie.

Podatność CVE-2024-49666 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w ARPrice w wersjach od n/a do 4.1.3.

Wtyczka Hero Mega Menu - Responsive WordPress Menu zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji od n/a do 1.16.5.

Podatność CVE-2024-49303 dotyczy wtyczki Hero Mega Menu - Responsive WordPress Menu i polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection. Problem ten występuje w wersjach od n/a do 1.16.5.

Podatność CVE-2024-49300 dotyczy wtyczki Hero Mega Menu - Responsive WordPress Menu i polega na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.16.5.

In the Linux kernel's dm-thin module, a vulnerability was found in the get_first_thin function, which used an unsafe list_empty() + list_first() sequence in RCU-protected code. This can lead to a race condition where one thread removes a list entry while another reads it, causing a pointer dereference to the pool structure and a system crash.

In the Linux kernel, a vulnerability in the gpio-virtuser module was found due to missing cleanup of the lookup table after a failed virtual GPIO device probe. This leads to inability to retry the device and memory leaks.

In the Linux kernel, a vulnerability in the netdev module was found where NAPI IDs were not fully namespaced. The netlink interface must ensure that a NAPI instance belongs to the same network namespace as the genl socket owner.

W jądrze Linuxa naprawiono podatność związaną z obliczaniem adresu vmemmap w modelu sparse vmemmap. Problem polegał na tym, że przy inicjalizacji struktur stron, obliczany adres wirtualny mógł znajdować się poniżej VMEMMAP_START, co prowadziło do błędów w zarządzaniu pamięcią.

WriteFreely w wersji do 0.15.1, gdy używa MySQL, pozwala lokalnym użytkownikom na odkrycie poświadczeń poprzez odczytanie pliku config.ini.

In the Linux kernel's io_uring/eventfd subsystem, a vulnerability was found where io_eventfd_do_signal() called from an RCU callback may directly free the io_ev_fd structure instead of deferring it to another RCU grace period. This could lead to use-after-free or other memory errors.

Nieprawidłowe ustawienia uprawnień w aplikacjach mobilnych (com.transsion.carlcare) mogą prowadzić do ryzyka wycieku informacji.

W module Shiprocket 3/4 dla OpenCart odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /index.php?route=extension/shiprocket/module/restapi w module REST API, gdzie manipulacja argumentem x-username prowadzi do wstrzyknięcia SQL.