CVE Vulnerability Catalog

In the netfs subsystem of the Linux kernel, a bug was found in the read_collect function. When multiple subrequests donated data to the same request, they overwrote the prev_donated field, causing data corruption and a BUG() panic.

A flaw in Tempo Operator where enabling Jaeger UI Monitor Tab creates a ClusterRoleBinding for the Tempo service account, granting cluster-monitoring-view role. A user with permissions to create TempoStack and read secrets in a namespace can read the service account token and access all cluster metrics.

A flaw was found in Tempo Operator, where it creates a ServiceAccount, ClusterRole, and ClusterRoleBinding when a user deploys a TempoStack or TempoMonolithic instance. This allows a user with full access to their namespace to extract the ServiceAccount token and use it to submit TokenReview and SubjectAccessReview requests, potentially revealing information about other users' permissions.

Wtyczka Shopper Approved Reviews dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji ajax_callback_update_sa_option() w wersjach od 2.0 do 2.1.

Wtyczka Front End Users dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w polu przesyłania plików formularza rejestracyjnego we wszystkich wersjach do i włącznie z 3.2.32. To umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W AssetView i AssetView CLOUD występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji. W przypadku jej wykorzystania, zdalny atakujący bez uwierzytelnienia może uzyskać dostęp do plików na serwerze, na którym działa produkt, lub je usunąć.

W podatności CVE-2025-31619 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w produkcie Actionwear sync. Problem dotyczy wersji od n/a do 2.3.3.

Podatność na deserializację niezaufanych danych w CBX Poll pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji CBX Poll od n/a do 2.0.4 włącznie.

Podatność CVE-2025-31594 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPglob Auto scroll for reading, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.1.4.

Wtyczka Ni WooCommerce Product Enquiry zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 4.1.8.

W podatności CVE-2025-31579 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP AutoKeyword w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

W podatności CVE-2025-31578 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Fonts Manager | Custom Fonts. Problem dotyczy wersji od n/a do 1.2 włącznie.

Podatność CVE-2025-31571 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce The Logo Slider. Umożliwia to atak typu Cross-site Scripting (XSS) w wersjach od n/a do 1.0.0.

W podatności CVE-2025-31568 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji LeadLab firmy wiredminds. Problem ten dotyczy wersji LeadLab od n/a do 1.3 włącznie.

W podatności CVE-2025-31564 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w narzędziu Ai Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT) w wersjach do 2.2.6.

W podatności CVE-2025-31563 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w komponencie AI Search Bar w wersjach od n/a do 2.1. Problem ten może umożliwić atakującym wstrzykiwanie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarkach użytkowników.

W podatności CVE-2025-31561 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Ultimate Push Notifications. Problem dotyczy wersji od n/a do 1.2.0 włącznie.

W systemie rezerwacji salonu Dimitri Grassi występuje podatność na nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji systemu rezerwacji salonu od n/a do poniżej 10.15.

W podatności CVE-2025-31553 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WPFactory Advanced WooCommerce Product Sales Reporting. Problem dotyczy wersji od n/a do 4.1.1 włącznie.

W podatności CVE-2025-31552 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w RSVPMarker w wersjach od n/a do 11.6.7. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.