CVE Vulnerability Catalog

When using Alt-Svc, ALPN did not properly validate certificates when the original server is redirecting to an insecure site. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6.

Assuming a controlled failed memory allocation, an attacker could have caused a use-after-free, leading to a potentially exploitable crash. This vulnerability was fixed in Firefox 134, Firefox ESR 128.6, Firefox ESR 115.19, Thunderbird 134, and Thunderbird 128.6.

The WebChannel API did not check the sending principal but accepted the principal being sent, which could lead to privilege escalation attacks. Fixed in Firefox 134, Firefox ESR 128.6, Thunderbird 134, and Thunderbird 128.6.

Podatność CVE-2024-56056 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w SimpleCharm, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji SimpleCharm od n/a do 1.4.3 włącznie.

Podatność w Crater Invoice pozwala nieautoryzowanemu atakującemu, który zna APP_KEY, na zdalne wykonanie poleceń na serwerze poprzez manipulację ciasteczkiem laravel_session. Wykorzystanie tej podatności opiera się na uzyskaniu tajnego APP_KEY, co umożliwia deszyfrowanie i manipulację danymi sesji.

JATOS 3.9.4 contains a denial-of-service (DoS) vulnerability in the authentication system. An attacker can lock a user account by sending 3 failed login attempts per minute, causing permanent account lockout. The lockout is account-based, not IP-based, so any attacker can lock any account.

W podatności CVE-2024-53800 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten dotyczy wersji Rezgo od n/a do 4.17 włącznie.

An authenticated arbitrary file upload vulnerability in Car Rental Management System versions 1.0 to 1.3 allows attackers to execute arbitrary code by uploading a crafted file.

Vehicle Management System 1.0 is vulnerable to SQL injection. An unauthenticated user can exploit POST parameters in administrative actions such as booking a vehicle or confirming a booking. The affected parameters include "Booking ID", "Action Name", and "Payment Confirmation ID" in /newvehicle.php and /newdriver.php.

In CTFd 3.7.3, the validate_email function in CTFd/utils/validators/__init__.py is vulnerable to a Regular expression Denial of Service (ReDoS) attack. An attacker can supply a crafted email address during registration, causing excessive server load.

W aplikacji Ach Invoice App występuje podatność na lokalne włączenie pliku PHP z powodu niewłaściwej kontroli nazwy pliku w instrukcji Include/Require. Problem dotyczy wersji od n/a do 1.0.1.

Podatność CVE-2025-22359 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w SyncFields w wersjach od n/a do 2.1 włącznie.

Podatność CVE-2025-22358 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Wp advertising management w wersjach od n/a do 1.0.3. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-22357 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Target Notifications dla WordPressa, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.1.1.

Podatność CVE-2025-22355 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Kikx Simple Post Author Filter, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.0 włącznie.

Podatność CVE-2025-22353 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BVD Easy Gallery Manager, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.0.6 włącznie.

Podatność CVE-2025-22352 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes w wersjach od n/a do 1.4.9.

W podatności CVE-2025-22351 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Contact Form 7 Database – CFDB7. Problem dotyczy wersji od n/a do 1.0.0.

Wtyczka WP Marka WordPress Auction Plugin wp-auctions zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 3.7 włącznie.

Podatność CVE-2025-22348 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection. Problem ten dotyczy wersji DynamicTags od n/a do 1.4.0.