CVE Vulnerability Catalog

Zgłoszono podatność typu injection poleceń w dodatku Media Streaming. Atakujący, który uzyska dostęp do lokalnej sieci oraz konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.4 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wyczerpanie pamięci lub CPU, omijając limity walidacji JSON.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 13.9 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł dodać nieautoryzowane adresy e-mail do kont ofiar poprzez wstrzyknięcie HTML w tytułach przypadków testowych.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 10.8 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, nieautoryzowany użytkownik mógł spowodować odmowę usługi, wysyłając powtarzające się zapytania GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.2 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na kradzież tokenów i dostęp do prywatnych repozytoriów poprzez niewłaściwą walidację w Web IDE.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.1 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł wykonać nieautoryzowane działania w imieniu innego użytkownika, wprowadzając złośliwą treść do przepływu kodu podatności.

Podatność CVE-2025-10174 dotyczy oprogramowania PanCafe Pro, które umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. Problem ten występuje w wersjach od < 3.3.2 do 23092025.

Wtyczka 'Videospirecore Theme Plugin' dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.0.6 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak adres e-mail.

Wtyczka Custom Block Builder – Lazy Blocks dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.0, poprzez wiele funkcji w klasie 'LazyBlocks_Blocks'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wykonanie kodu na serwerze.

Podatność CVE-2025-9986 w systemie DIGIKENT firmy Vadi Corporate Information Systems Ltd. Co. umożliwia nieautoryzowany dostęp do wrażliwych informacji systemowych. Problem ten dotyczy systemu do 30 września 2025 roku.

Wtyczka iONE360 configurator dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry formularza kontaktowego we wszystkich wersjach do i włącznie z 2.0.57 z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13651 w Microcom ZeusWeb umożliwia nieautoryzowanym osobom dostęp do wrażliwych informacji systemowych poprzez fingerprinting aplikacji webowej. Problem dotyczy wersji ZeusWeb: 6.1.31.

Podatność CVE-2025-10913 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie TemizlikYolda firmy Saastech Cleaning and Internet Services Inc., co pozwala na ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji TemizlikYolda do 11022026.

Podatność CVE-2025-10912 dotyczy oprogramowania TemizlikYolda firmy Saastech Cleaning and Internet Services Inc. i polega na obejściu autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Wtyczka WPvivid Backup & Migration dla WordPressa jest podatna na nieautoryzowane przesyłanie dowolnych plików w wersjach do 0.9.123 włącznie. Problem wynika z niewłaściwego zarządzania błędami w procesie deszyfrowania RSA oraz braku sanitizacji ścieżek przy zapisywaniu przesyłanych plików.

Wtyczka Lucky Wheel Giveaway dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.0.22 poprzez parametr conditional_tags. Problem wynika z użycia funkcji eval() w PHP na danych kontrolowanych przez użytkownika bez odpowiedniej walidacji lub sanitizacji.

DoraCMS version 3.1 and prior contains a server-side request forgery (SSRF) vulnerability in its UEditor remote image fetch functionality. The application accepts user-supplied URLs and performs server-side HTTP or HTTPS requests without sufficient validation or destination restrictions. The implementation does not enforce allowlists, block internal or private IP address ranges, or apply request timeouts or response size limits.

The cryptography library for Python before version 46.0.5 does not verify that a public key point belongs to the expected prime-order subgroup. This missing validation allows an attacker to provide a point from a small-order subgroup, leading to private key leakage in ECDH and signature forgery in ECDSA. Only SECT curves are affected.

Zagrożone produkty są podatne na nieobsłużony wyjątek, który może pozwolić nieautoryzowanemu atakującemu na zdalne zablokowanie usług rdzenia PI, co prowadzi do odmowy usługi.

Wersje Lightroom Desktop 15.1 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.