CVE Vulnerability Catalog

W podatności CVE-2025-30908 występuje problem Cross-Site Request Forgery (CSRF) w Shamalli Web Directory Free, który umożliwia przechowywanie ataków XSS. Problem ten dotyczy wersji Web Directory Free od n/a do 1.7.6 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce PickPlugins Testimonial Slider umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji Testimonial Slider od n/a do 2.0.13 włącznie.

W podatności CVE-2025-30858 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Tribulant Software Snow Storm, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Snow Storm od n/a do 1.4.6 włącznie.

Podatność CVE-2025-30616 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Latest Custom Post Type Updates w wersjach od n/a do 1.3.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

W podatności CVE-2025-30611 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji wptobe-signinup. Problem ten dotyczy wersji od n/a do 1.1.2 włącznie.

A memory leak was found in the Linux kernel's fib_check_nh_v6_gw() function for IPv6. The issue occurred after moving fib_nh_common_init() before pcpu memory allocation, leaving nhc_pcpu_rth_output uncleaned on allocation failure.

In the Linux kernel in the net/atm (LAN Emulation) subsystem, there is a use-after-free bug in the lec_send() function. The ->send() function frees the skb buffer, but the length is read after freeing, leading to a use-after-free condition.

In the QAIC (Qualcomm AI Core) accelerator in the Linux kernel, an integer overflow bug was found in qaic_validate_req(). User-controlled u64 variables can cause arithmetic wrapping, potentially leading to incorrect memory allocation.

A use-after-free (UAF) vulnerability was found in the Linux kernel's proc_get_inode() function. It is caused by a race condition between module removal and inode instantiation for a /proc entry, leading to dereference of a pointer to a freed module.

A heap buffer over-read vulnerability was found in the libsoup library during content sniffing via the skip_insight_whitespace() function. Clients using libsoup may read one byte out-of-bounds in response to a crafted HTTP response from an HTTP server.

Podatność w akcji GitHub 'get-workflow-version-action' przed wersją 1.0.1 może prowadzić do ujawnienia części tokena GITHUB_TOKEN w logach GitHub Actions, jeśli krok akcji zakończy się niepowodzeniem. Token może być wyświetlany w postaci niepełnej, co stwarza ryzyko jego ujawnienia osobom z dostępem do repozytorium.

Wersja 3.5.1 i wcześniejsze oprogramowania vipshop Saturn zawiera podatność na wstrzykiwanie SQL, która umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez komponent /console/dashboard/executorCount?zkClusterKey.

Pexip Infinity Connect przed wersją 1.13.0 nie posiada wystarczających kontroli autentyczności podczas ładowania zasobów, co umożliwia zdalnym atakującym uruchomienie nieufnego kodu w aplikacji.

Podatność w serwerze VPN Cisco AnyConnect na urządzeniach Cisco Meraki MX i Z Series może pozwolić uwierzytelnionemu, zdalnemu atakującemu na spowodowanie stanu odmowy usługi (DoS) w usłudze Cisco AnyConnect. Wykorzystanie tej podatności wymaga posiadania ważnych poświadczeń użytkownika VPN na zaatakowanym urządzeniu.

Nieprawidłowe domyślne uprawnienia w folderze instalacyjnym AMD Ryzen(TM) AI mogą umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

Przepełnienie całkowitej liczby w sterowniku NPU firmy AMD może umożliwić lokalnemu atakującemu zapis poza dozwolonym obszarem pamięci, co może prowadzić do utraty poufności, integralności lub dostępności danych.

Przepełnienie całkowitej liczby w sterowniku AMD NPU może umożliwić lokalnemu atakującemu zapis poza dozwolonym obszarem pamięci, co może prowadzić do utraty poufności, integralności lub dostępności danych.

Przepełnienie całkowitej liczby w sterowniku NPU firmy AMD może umożliwić lokalnemu atakującemu zapis poza dozwolonym obszarem pamięci, co może prowadzić do utraty integralności lub dostępności systemu.

In the SMB server (ksmbd) in the Linux kernel, incorrect validation of the num_aces field in smb_acl was found. The parse_dcal() function used a wrong condition that could allow allocating an array of size ULONG_MAX, leading to overflow.

W pliku mime.php w SquirrelMail w wersjach do 1.4.23-svn-20250401 oraz 1.5.x do 1.5.2-svn-20250401 występuje podatność na atak XSS poprzez nagłówki e-mail, ponieważ ładunki JavaScript są niewłaściwie obsługiwane po ustawieniu $encoded na true.