CVE Vulnerability Catalog

Podatność CVE-2025-24650 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Themefic Tourfic, co umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Tourfic od n/a do 2.15.3 włącznie.

W podatności CVE-2025-24636 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce MachForm Shortcode, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji MachForm Shortcode od n/a do 1.4.1.

W podatności CVE-2025-24587 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Nks Email Subscription Popup. Problem dotyczy wersji od n/a do 1.2.23 włącznie.

Podatność CVE-2025-24570 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Atarim. Problem ten dotyczy wersji Atarim od n/a do 4.0.8.

W podatności CVE-2025-24562 występuje problem Cross-Site Request Forgery (CSRF) w Optimal Access KBucket, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji KBucket od n/a do 4.1.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w ReviewsTap umożliwia przechowywanie ataków XSS. Problem dotyczy wersji ReviewsTap od n/a do 1.1.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w systemie Subscription DNA umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Subscription DNA od n/a do 2.1 włącznie.

W One Identity Identity Manager w wersjach 9.x przed 9.3 występuje podatność typu insecure direct object reference (IDOR), która umożliwia eskalację uprawnień. Dotyczy to wyłącznie instalacji lokalnych.

LibVNCServer w wersji 0.9.12 i wcześniejszych zawiera podatność na przepełnienie bufora w stercie w funkcji HandleCursorShape() w pliku libvncclient/cursor.c. Atakujący może wysłać kształty kursora o specjalnie przygotowanych wymiarach, co może prowadzić do zdalnego wykonania kodu.

ASTEVAL to evaluator wyrażeń i instrukcji Pythona. Przed wersją 1.0.6, jeśli atakujący ma kontrolę nad wejściem do biblioteki `asteval`, może obejść jej ograniczenia i wykonać dowolny kod Pythona w kontekście aplikacji korzystającej z tej biblioteki. Podatność wynika z nieprawidłowego przetwarzania węzłów AST `FormattedValue`.

Updatecli to narzędzie służące do stosowania strategii aktualizacji plików. Przed wersją 0.93.0, dane uwierzytelniające do prywatnego repozytorium maven mogły być ujawniane w logach aplikacji w przypadku nieudanej operacji pobierania.

W systemie Deepin dde-api-proxy do wersji 1.0.19 odkryto problem, który pozwala nieuprzywilejowanym użytkownikom na dostęp do usług D-Bus jako root. Proxy działa jako root i przekazuje wiadomości od lokalnych użytkowników do metod D-Bus, które nie są świadome tej sytuacji.

Podatności związane z hijackowaniem DLL, spowodowane niekontrolowaną ścieżką wyszukiwania w instalatorze USBXpress Win 98SE Dev Kit, mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9498 dotyczy luk w hijackingu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze SDK USBXpress. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9497 dotyczy luk w hijackingu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze USBXpress 4 SDK. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatności na przejęcie DLL wynikające z niekontrolowanej ścieżki wyszukiwania w instalatorze USBXpress Dev Kit mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatność CVE-2024-9495 dotyczy luk w przechwytywaniu DLL, spowodowanych niekontrolowaną ścieżką wyszukiwania w instalatorze CP210x VCP dla systemu Windows. Może to prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatności związane z hijackowaniem DLL, spowodowane niekontrolowaną ścieżką wyszukiwania w instalatorze CP210 VCP Win 2k, mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatności na hijacking DLL, spowodowane niekontrolowaną ścieżką wyszukiwania w instalatorze ToolStick, mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.

Podatności na hijacking DLL, spowodowane niekontrolowaną ścieżką wyszukiwania w instalatorze Flash Programming Utility, mogą prowadzić do eskalacji uprawnień oraz wykonania dowolnego kodu podczas uruchamiania zainfekowanego instalatora.