CVE-2025-67630
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność typu Stored Cross-Site Scripting w wtyczce WH Tweaks (webheadcoder) do wersji 1.0.2 włącznie, z powodu niewystarczającej neutralizacji wejścia podczas generowania strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które będą wykonywane w przeglądarkach użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację wtyczki WH Tweaks do wersji powyżej 1.0.2, która zawiera poprawkę.
Powiązane podatności
- CVE-2026-96809Krytyczne
Wtyczka EduAdmin Booking (eduadmin-booking) firmy MultiNet Interactive AB zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do przed 6.0.0.
- CVE-2026-96331Krytyczne
Wtyczka Ajax Search Pro (ajax-search-pro) firmy wpdreams zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 4.29.1 włącznie.
- CVE-2026-96330Krytyczne
Wtyczka tagDiv Opt-In Builder (td-subscription) firmy tagDiv zawiera lukę SQL Injection (niewłaściwa neutralizacja specjalnych elementów w komendach SQL). Umożliwia ona atakującemu przeprowadzenie ślepej iniekcji SQL. Problem dotyczy wersji od n/a do 1.7.6 włącznie.
- CVE-2026-96328Krytyczne
Wtyczka JNews - Pay Writer (do wersji 12.0.1) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-96327Krytyczne
Wtyczka WPLMS (wersje przed 1.9.9.8.2) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-94503Krytyczne
Wtyczka Zombify (do wersji 1.7.7) zawiera podatność typu Unrestricted Upload of File with Dangerous Type, która pozwala na przesłanie i wykonanie złośliwego skryptu (web shell) na serwerze.
- CVE-2026-93947Krytyczne
Wtyczka Traveler (do wersji 3.2.9) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ataku Blind SQL Injection.
- CVE-2026-107935Krytyczne
W gvproxy, forwarderze sieciowym dostarczanym przez pakiet gvisor-tap-vsock, wykryto podatność typu path traversal. Nieuwierzytelniony endpoint /services/forwarder/expose nie waliduje ścieżki gniazda podanej przez wywołującego, co pozwala atakującemu na usunięcie dowolnych plików w systemie hosta.
- CVE-2026-107909Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcjach ws_read_frame (src/bolt/ws.c) i buffer_apply_mask (src/bolt/buffer.c). Zdalny nieuwierzytelniony atakujący może wysłać ramkę WebSocket z 64-bitową rozszerzoną długością ładunku do portu Bolt, powodując odmowę usługi i potencjalne uszkodzenie pamięci sterty. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
- CVE-2026-107908Krytyczne
W FalkorDB przed wersją 4.20.0 występuje błąd zapisu poza granicami bufora na stercie w funkcji BoltReadHandler (src/bolt/bolt_api.c). Zdalny nieuwierzytelniony atakujący może wysłać wiadomość Bolt RESET z wybranym przez siebie rozmiarem fragmentu do portu Bolt, powodując odmowę usługi i potencjalne wykonanie dowolnego kodu. Podatność dotyczy tylko wdrożeń z włączonym punktem końcowym Bolt (BOLT_PORT, domyślnie wyłączony).
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in webheadcoder WH Tweaks wh-tweaks allows Stored XSS.This issue affects WH Tweaks: from n/a through <= 1.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS