CVE Vulnerability Catalog

Podatność CVE-2025-22753 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w turboSMTP. Problem ten dotyczy wersji turboSMTP od n/a do 4.6 włącznie.

Podatność CVE-2025-22752 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce GSheetConnector dla Forminator Forms. Problem ten występuje w wersjach od n/a do 1.0.12 włącznie.

Podatność CVE-2025-22751 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji farinspace Partners. Problem ten dotyczy wersji Partners od n/a do 0.2.0 włącznie.

W podatności CVE-2025-22750 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Patel Post Carousel & Slider w wersjach od n/a do 1.0.4.

W podatności CVE-2025-22736 występuje nieprawidłowe przypisanie uprawnień w systemie zarządzania użytkownikami Saada Iqbala, co umożliwia eskalację uprawnień. Problem dotyczy wersji User Management od n/a do 1.2 włącznie.

Podatność CVE-2025-22317 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Gallery Ape Photo Gallery. Umożliwia to atak typu Cross-site Scripting (XSS) w wersjach od n/a do 2.2.8.

W podatności 'Użycie uszkodzonego lub ryzykownego algorytmu kryptograficznego' w komponencie SSL/TLS używanym w wersjach B&R Automation Runtime przed 6.1 oraz B&R mapp View przed 6.1, nieautoryzowani atakujący mogą podszywać się pod usługi na zaatakowanych urządzeniach.

W systemie CyberPower PowerPanel Business (PPB) w wersji 4.11.0 występuje podatność na atak typu denial-of-service. Nieautoryzowany zdalny atakujący może wielokrotnie restartować proces ppbd.exe za pomocą usługi Watchdog, co prowadzi do jego niedostępności.

A bug in the Linux kernel disabled hardware checksum offload for BIG TCP IPv6 packets with extension headers. The issue specifically affected the IPV6_TLV_JUMBO header, which is only used for packet capture (e.g., tcpdump) and not transmitted by physical devices. The fix restores offload support for this specific case.

Wtyczka NitroPack dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'nitropack_dismiss_notice_forever' we wszystkich wersjach do 1.17.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyżej, aktualizację dowolnych opcji do stałej wartości '1'.

Wtyczka Social proof testimonials and reviews by Repuso dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'rw_image_badge1' we wszystkich wersjach do 5.20 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie współpracownika i wyżej, wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Urządzenia NEC Corporation Aterm WX1500HP w wersji 1.4.2 i wcześniejszych oraz WX3600HP w wersji 1.5.3 i wcześniejszych umożliwiają atakującemu wykonanie dowolnych poleceń systemu operacyjnego przez sieć.

W podatności CVE-2025-0355 brak jest autoryzacji dla krytycznych funkcji w urządzeniach NEC Corporation, co pozwala atakującemu na uzyskanie hasła Wi-Fi przez sieć. Dotyczy to wielu modeli routerów z określonymi wersjami oprogramowania.

W Genivia gSOAP, przy określonej konfiguracji, nieautoryzowany zdalny atakujący może wygenerować wysokie obciążenie CPU, zmuszając system do analizy XML z duplikatami atrybutów ID, co może prowadzić do ataku typu DoS.

W wersjach Linux Ratfor 1.06 i wcześniejszych występuje podatność na przepełnienie bufora na stosie. Przetwarzając specjalnie przygotowany plik przez atakującego, może zostać wykonany dowolny kod.

Podatność CVE-2025-0343 dotyczy biblioteki Swift ASN.1, która może ulegać awarii podczas analizy niektórych konstrukcji BER/DER. Awaria jest spowodowana błędnym założeniem w bibliotece, że pewne obiekty mogą być dostarczane tylko w formach skonstruowanych lub prymitywnych.

Flatnotes w wersjach poniżej 5.3.1 jest podatny na atak typu denial of service (DoS) poprzez funkcję przesyłania obrazów.

ECOVACS Robotics Deebot T20 OMNI and T20e OMNI before firmware version 1.24.0 were found to contain a WiFi Remote Code Execution vulnerability. An attacker can exploit this flaw to remotely take control of the device.

An authenticated Server-Side Request Forgery (SSRF) vulnerability in Invoice Ninja allows arbitrary file read and network resource requests as the application user. Affects versions 5.8.56 through 5.11.23.

Git Credential Manager (GCM) to bezpieczny pomocnik do zarządzania poświadczeniami Git, działający na systemach Windows, macOS i Linux. Protokół poświadczeń Git jest oparty na tekście i składa się z par klucz-wartość, jednak dokumentacja Git ogranicza użycie znaku NUL oraz nowych linii w kluczach lub wartościach.