CVE Vulnerability Catalog

W podatności CVE-2025-48098 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Ays Pro Survey Maker. Problem dotyczy wersji Survey Maker od n/a do 5.1.8.8 włącznie.

Podatność CVE-2025-48097 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WSAnalytics w wersjach od n/a do 1.1.2. Problem ten umożliwia ataki refleksyjne XSS.

The Custom CSS plugin for WordPress up to version 1.4.0 has a missing authorization vulnerability, allowing exploitation of incorrectly configured access control security levels.

The Survey Maker plugin (versions up to and including 5.1.8.8) contains a stored cross-site scripting (XSS) vulnerability due to improper neutralization of input during web page generation. Malicious scripts can be stored and executed by users.

Podatność CVE-2025-48093 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module logowania hasłem Calvaweb. Problem ten występuje w wersji od n/a do 0.2 włącznie.

Podatność CVE-2025-48092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Fix Multiple Redirects w wersjach od n/a do 1.2.3.

W podatności CVE-2025-48091 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AnyComment w wersjach od n/a do 0.3.6. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.

Podatność CVE-2025-48082 w Progress Planner dotyczy nieprawidłowego przypisania uprawnień, co umożliwia eskalację uprawnień. Problem ten występuje w wersjach od n/a do 1.8.0 włącznie.

W podatności CVE-2025-39534 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy aplikacji Terms Dictionary w wersjach od n/a do 1.5.1.

W podatności CVE-2025-32657 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RadiusTheme Testimonial Slider And Showcase Pro w wersjach od n/a do 2.1.7. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność na deserializację niezaufanych danych w Solar Energy od designthemes umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Solar Energy od n/a do 3.5 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Insurance designthemes pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki Insurance od n/a do 3.5 włącznie.

W podatności CVE-2025-30944 w Essekia Tablesome Table Premium występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Tablesome Table Premium od n/a do 1.1.23 włącznie.

In Eclipse Vert.x versions [4.0.0, 4.5.21] and [5.0.0, 5.0.4], when directory listing is enabled, file and directory names are inserted into generated HTML without proper escaping in href, title, and link attributes. An attacker who can create or rename files in a served path can trigger stored XSS.

In Eclipse Vert.x versions [4.0.0, 4.5.21] and [5.0.0, 5.0.4], a StaticHandler configuration for restricting access to hidden files fails to restrict access to hidden directories, allowing unauthorized users to retrieve files within them (e.g. '.git/config').

A vulnerability in LibreChat version 0.7.9 allows HTML injection via the Accept-Language header. A logged-in user can send a crafted GET request, leading to arbitrary HTML injection into the <html lang=""> tag of the response, potentially enabling XSS attacks.

Seffaflik w wersji do 0.0.9 jest podatny na ataki symlinkowe z powodu niewłaściwych domyślnych uprawnień nadawanych plikom .kimlik i .seffaflik, które są tworzone z trybem 0777 i 0775. To naraża sekrety na dostęp innych lokalnych użytkowników.

TM2 Monitoring v3.04 contains an authentication bypass and plaintext credential disclosure vulnerability.

Hugging Face Smolagents version 1.20.0 contains an XPath injection vulnerability in the search_item_ctrl_f function located in src/smolagents/vision_web_browser.py. The function constructs an XPath query by directly concatenating user-supplied input into the XPath expression without proper sanitization or escaping.

In version 1.6.0 of the langgenius/dify-web application, the authentication mechanism reveals the existence of user accounts by returning different error messages for non-existent and existing accounts. When a login or registration attempt is made with a non-existent username or email, the system responds with a message such as "account not found," while an existing username or email with an incorrect password returns a different error message.