CVE Vulnerability Catalog

Podatność CVE-2025-23568 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce WP Login Attempt Log w wersjach od n/a do 1.3 włącznie.

W podatności CVE-2025-23525 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Kv Compose Email From Dashboard w wersjach od n/a do 1.1 włącznie.

Podatność CVE-2025-23523 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w HSS Embed Streaming Video w wersjach od n/a do 3.23. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

W podatności CVE-2025-23492 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce CantonBolo WordPress 淘宝客插件 taobaoke, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 1.1.2.

Podatność CVE-2025-23474 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Live Dashboard, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach Live Dashboard od n/a do 0.3.3 włącznie.

Podatność CVE-2025-23431 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Envato Affiliater, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.2.4 włącznie.

W podatności CVE-2025-23428 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce QMean – WordPress Did You Mean, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 2.0 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Disqus Popular Posts umożliwia wykonanie ataku typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 2.1.1.

Standardowy użytkownik wykorzystuje funkcję uruchamiania jako, aby uruchomić aplikacje MEAC z uprawnieniami administratora. W celu zapewnienia, że system może samodzielnie się uruchomić, dane logowania administratora zostały zapisane, co umożliwia użytkownikowi EPC2 wykonywanie dowolnych poleceń z uprawnieniami administratora.

Wtyczka Monetag Official Plugin w wersjach od n/a do 1.1.3 zawiera lukę związaną z brakiem autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten może prowadzić do nieautoryzowanego dostępu do zasobów.

W podatności CVE-2024-13152 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co pozwala na atak typu SQL Injection w panelu monitorowania maszyn Mobuy Online. Problem dotyczy wersji przed 2.0.

Serwer StrongKey FIDO przed wersją 4.15.1 traktuje przepływ non-discoverable (namedcredential) jako transakcję discoverable. Może to prowadzić do nieautoryzowanego dostępu do danych uwierzytelniających.

W aplikacji mobilnej (com.transsion.carlcare) występuje luka logiczna, która może prowadzić do przejęcia konta użytkownika.

W podatności CVE-2025-22630 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach, co prowadzi do możliwości wstrzyknięcia poleceń systemowych w widgecie Widget Options. Problem ten dotyczy wersji Widget Options od n/a do 4.1.0 włącznie.

In MISP before version 2.4.198, the app/Model/Attribute.php file ignores ACL rules during a GUI attribute search.

W interfejsie zarządzania opartym na sieci web urządzeń GatesAir Maxiva UAXT i VAXT występuje krytyczna podatność na zdalne wykonanie kodu (RCE) w trybie debugowania. Atakujący posiadający ważny identyfikator sesji (sess_id) mogą wysyłać specjalnie skonstruowane żądania POST do punktu końcowego /json, co umożliwia wykonanie dowolnych poleceń na systemie.

W interfejsie zarządzania opartym na sieci web dla nadajników GatesAir Maxiva UAXT i VAXT występuje krytyczna podatność na ujawnienie informacji z powodu nieprawidłowej kontroli dostępu. Nieautoryzowani atakujący mogą uzyskać bezpośredni dostęp do wrażliwych plików kopii zapasowej bazy danych poprzez publicznie dostępne adresy URL.

W interfejsie zarządzania opartym na sieci web dla nadajników GatesAir Maxiva UAXT i VAXT występuje podatność na przejęcie sesji. Nieautoryzowani atakujący mogą uzyskać dostęp do wystawionych plików dziennika, co może ujawnić wrażliwe informacje związane z sesją, takie jak identyfikatory sesji i tokeny sukcesu uwierzytelnienia.

Atakujący może wykorzystać specjalnie przygotowany skrypt Pythona do wysyłania ciągłych poleceń startMeasurement przez niezaszyfrowane połączenie Bluetooth do podatnego urządzenia. To uniemożliwi połączenie urządzenia z aplikacją klinicysty w celu pobrania danych pacjenta, co prowadzi do stanu odmowy usługi.

Wersja 4.8.2 systemu Wazuh SIEM jest podatna na lukę w kontroli dostępu. Problem ten umożliwia nieautoryzowane tworzenie wewnętrznych użytkowników bez przypisywania jakiejkolwiek istniejącej roli użytkownika, co może prowadzić do eskalacji uprawnień lub nieautoryzowanego dostępu do wrażliwych zasobów.