CVE Vulnerability Catalog

W podatności CVE-2025-32113 występuje luka typu Cross-Site Request Forgery (CSRF) w aplikacji Renzo Tejada Libro de Reclamaciones y Quejas, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji aplikacji od n/a do 1.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce OTWthemes Sidebar Manager Light umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji Sidebar Manager Light od n/a do 1.18 włącznie.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co prowadzi do uszkodzenia pamięci jądra systemu.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co pozwala na zapis do dowolnych stron pamięci fizycznej. W określonych okolicznościach, ten exploit może być wykorzystany do uszkodzenia stron danych, które nie są przydzielone przez sterownik GPU.

CVE-2025-31480 dotyczy rozszerzenia PostgreSQL o nazwie aiven-extras, które ma lukę umożliwiającą eskalację uprawnień do superużytkownika w bazach danych PostgreSQL. Luka ta wykorzystuje fakt, że funkcja format nie jest prefiksowana schematem.

Podatność CVE-2025-31418 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w noonnoo Gravel, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Gravel od n/a do 1.6.

Podatność CVE-2025-31416 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Awesome Event Booking, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.8.4 włącznie.

W podatności CVE-2025-31405 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce Fami WooCommerce Compare w wersjach od n/a do 1.0.5. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W podatności CVE-2025-31403 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji shiptrack Booking Calendar i Notification. Problem dotyczy wersji od n/a do 4.0.3 włącznie.

Podatność CVE-2025-31389 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Sequel.io, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Sequel od n/a do 1.0.11 włącznie.

Podatność CVE-2025-31384 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w aplikacji Aviplugins Videos, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Videos od n/a do 1.0.5.

Podatność związana z nieprawidłowym przypisaniem uprawnień w Favethemes Homey umożliwia eskalację uprawnień. Problem ten dotyczy wersji Homey od n/a do 2.4.1.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce wpForo Forum pozwala na eskalację uprawnień. Problem dotyczy wersji wpForo Forum od n/a do 2.4.2 włącznie.

W podatności CVE-2025-22282 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji keksdieb ez Form Calculator Premium. Problem dotyczy wersji od n/a do 2.14.1.2 włącznie.

Sterownik jądra, dostępny dla użytkowników o niskich uprawnieniach, udostępnia funkcję, która nieprawidłowo weryfikuje uprawnienia wywołującego proces. To umożliwia tworzenie plików w dowolnych lokalizacjach z pełną kontrolą użytkownika, co ostatecznie pozwala na eskalację uprawnień do poziomu SYSTEM.

Wtyczka Vehica Core dla WordPressa, używana w motywie Vehica - Car Dealer & Listing, jest podatna na eskalację uprawnień we wszystkich wersjach do 1.0.97 włącznie. Problem wynika z niewłaściwej walidacji pól meta użytkownika przed ich aktualizacją w bazie danych.

Niewłaściwa izolacja użytkowników w serwerze M-Files w wersji przed 25.3.14549 pozwala anonimowym użytkownikom wpływać na widoki innych anonimowych użytkowników, co może prowadzić do odmowy usługi.

Obraz Dockera z acme.sh przed wersją 40b6db6 oparty jest na pliku .github/workflows/dockerhub.yml, który nie zawiera opcji 'persist-credentials: false' dla akcji 'checkout'.

Wtyczka Product Filter by WBW dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr filtersDataBackend we wszystkich wersjach do 2.7.9 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Countdown, Coming Soon, Maintenance – Countdown & Clock dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do 2.8.9.1 włącznie, poprzez funkcję createCdObj. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie plików o określonych nazwach na serwerze.