CVE Vulnerability Catalog

Do pakietu Nx (systemu budowania) oraz kilku powiązanych wtyczek wprowadzono złośliwy kod. Zmodyfikowany pakiet został opublikowany w rejestrze oprogramowania npm w wyniku ataku na łańcuch dostaw.

Side-channel information leakage in V8 in Google Chrome prior to 140.0.7339.207 allowed a remote attacker to leak cross-origin data via a crafted HTML page.

Wtyczka MultiLoca - WooCommerce Multi Locations Inventory Management dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji 'wcmlim_settings_ajax_handler' we wszystkich wersjach do 4.2.8 włącznie.

Baza danych aplikacji webowej jest wystawiona bez uwierzytelnienia, co pozwala nieautoryzowanemu zdalnemu atakującemu uzyskać dostęp i potencjalnie ją skompromitować.

The Prompt module in DNN (DotNetNuke) before version 10.1.0 allows execution of commands that can return raw HTML. Malicious input, even if sanitized for display, can be executed when processed through certain commands, leading to potential script execution (XSS). Patched in version 10.1.0.

An untrusted pointer dereference vulnerability in RTI Connext Professional (Core Libraries) allows pointer manipulation. It affects Connext Professional versions from 7.4.0 before 7.6.0, from 7.0.0 before 7.3.0.10, from 6.1.0 before 6.1.2.27, from 6.0.0 before 6.0.1.43, from 5.3.0 before 5.3.*, from 5.2.0 before 5.2.*, and from 4.4a before 5.1.*.

An untrusted pointer dereference vulnerability in RTI Connext Professional (Core Libraries) allows pointer manipulation. It affects Connext Professional versions from 7.4.0 before 7.6.0 and from 7.2.0 before 7.3.0.9.

Podatność CVE-2025-9846 dotyczy systemu Inka.Net, który przed wersją 6.7.1 pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wstrzyknięcia poleceń.

A buffer overflow vulnerability in Novakon P series allows attackers to gain root permission without prior authentication. This affects P series versions from P – V2001.A.C518o2 up to P-2.0.05 Build 2026.02.06 (commit d0f97fd9).

Wtyczka Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu błędnej walidacji typów plików w funkcji 'uni_cpo_upload_file' w wersjach do 4.9.55 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'move_as_original_file' we wszystkich wersjach do 4.2.6 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W podatności CVE-2025-9588 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemowych, co prowadzi do możliwości wstrzyknięcia poleceń w usłudze archiwizacji EnVision firmy Iron Mountain. Problem ten dotyczy wersji EnVision przed 250563.

In the Linux kernel, an invalid access bug was found in the libceph library to the ceph_connection_v1_info union. Generic code in messenger.c reads and writes to the v1 union member without checking if it is active (i.e., msgr1 is in use). This can lead to reading invalid values or writing to overlapping fields.

Wtyczka WPCasa dla WordPressa jest podatna na wstrzykiwanie kodu we wszystkich wersjach do i włącznie z 1.4.1. Problem wynika z niewystarczającej walidacji danych wejściowych oraz ograniczeń w funkcji 'api_requests'.

Flowise version 3.0.5 is vulnerable to remote code execution. The CustomMCP node passes user input directly to the Function() constructor, allowing execution of arbitrary JavaScript code with Node.js runtime privileges. The issue is patched in version 3.0.6.

Flowise to interfejs typu drag & drop do budowania dostosowanych przepływów dużych modeli językowych. Przed sierpniem 2025 roku, w Cloud-Hosted Flowise, istniała uwierzytelniona podatność, która pozwalała użytkownikom na darmowym poziomie dostępu do wrażliwych zmiennych środowiskowych innych najemców za pośrednictwem węzła Custom JavaScript Function.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce yonisink Custom Post Type Images umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji wtyczki od n/a do 0.5 włącznie.

Niewystarczające zabezpieczenie konta proxyuser w platformie zarządzania IoT AiKaan, w połączeniu z użyciem wspólnego, zakodowanego klucza prywatnego SSH, umożliwia zdalnym atakującym uwierzytelnienie się w kontrolerze chmurowym, uzyskanie dostępu do powłoki interaktywnej oraz przejście do innych podłączonych urządzeń IoT. Może to prowadzić do zdalnego wykonania kodu, ujawnienia informacji oraz eskalacji uprawnień w środowiskach klientów.