Katalog podatności CVE

W jądrze Linux w funkcji ath12k_service_ready_ext_event() sterownika wifi ath12k występuje wyciek pamięci. W przypadku błędu struktura svc_rdy_ext.mac_phy_caps nie jest zwalniana, co prowadzi do wycieku pamięci widocznego w kmemleak.

W podatności CVE-2025-9031 występuje problem z różnicą czasową w DivvyDrive Web, który umożliwia przeprowadzanie wyszukiwań międzydomenowych. Dotyczy to wersji od 4.8.2.2 do przed 4.8.2.15.

Aplikacja internetowa pozwala niezautoryzowanemu zdalnemu atakującemu poznać informacje o istniejących kontach użytkowników wraz z ich rolami z powodu braku uwierzytelnienia dla krytycznej funkcji.

W Apache IoTDB występuje podatność polegająca na deserializacji niezaufanych danych. Problem dotyczy wersji od 1.0.0 do 2.0.5. Zaleca się aktualizację do wersji 2.0.5, która naprawia tę lukę.

Podatność na odbity cross-site scripting (XSS) w Liferay Portal 7.4.0 do 7.4.3.112 oraz Liferay DXP 2024.Q1.1 do 2024.Q1.18 i 7.4 GA do update 92. Zdalny uwierzytelniony atakujący może wstrzyknąć kod JavaScript przez parametr _com_liferay_commerce_product_definitions_web_internal_portlet_CPDefinitionsPortlet_productTypeName. Złośliwy kod jest odbijany i wykonywany w przeglądarce użytkownika.

DNN (dawniej DotNetNuke), otwartoźródłowa platforma CMS dla ekosystemu Microsoft, w wersjach przed 10.1.0 pozwalała użytkownikom na wstrzyknięcie kodu JavaScript w polu Biography, nawet jeśli nie było to pole rich-text. Wstrzyknięty kod wykonywał się w kontekście witryny u każdego użytkownika przeglądającego profil, w tym administratorów i superużytkowników. Problem został naprawiony w wersji 10.1.0.

Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.

W podatności CVE-2025-9342 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w aplikacji AHE Mobile firmy Anadolu Hayat Emeklilik Inc., co umożliwia nadużycie uprawnień. Problem dotyczy wersji AHE Mobile od 1.9.7 do przed 1.9.9.

Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanego kodu w pliku /module/ComponenteCurricular/edit. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Podatność w Portabilis i-Educar do wersji 2.10 dotyczy nieznanej części pliku /module/ComponenteCurricular/view. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być wykonany zdalnie. Exploit został upubliczniony i może być użyty.

W oprogramowaniu SourceCodester Pet Grooming Management Software 1.0 wykryto podatność SQL injection w pliku /admin/print-payment.php. Manipulacja argumentem sql111 umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany.

W oprogramowaniu SourceCodester Pet Grooming Management Software 1.0 wykryto podatność SQL injection w pliku /admin/inv-print.php. Manipulacja argumentem ID umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany.

Wtyczka Request a Quote dla WordPressa (od emarket-design) zawiera podatność typu Stored XSS w wersjach do 2.5.0 włącznie. Niewłaściwa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie skryptu.

Wykryto podatność w platformie fuyang_lipengjun 1.0 w funkcji UserCouponController w pliku /usercoupon/queryAll. Manipulacja prowadzi do nieprawidłowej autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka Cozy Blocks dla CozyThemes ma podatność XSS (podstawowy) polegającą na niewłaściwej neutralizacji tagów HTML w stronie internetowej. Problem dotyczy wersji do 2.1.29 włącznie.

Wtyczka Product Catalog Simple od impleCode ma podatność na trwały XSS (Stored XSS) z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 1.8.2 włącznie.

Wtyczka MaxiBlocks (wersje do 2.1.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieautoryzowany dostęp do funkcji lub danych.

Podatność typu Stored XSS w wtyczce IP Based Login (wersje do 2.4.3) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.

Wtyczka Last Updated Shortcode od Luke Mlsna ma podatność na trwały XSS (Stored XSS) z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 1.0.1 włącznie.

Podatność typu Stored XSS w wtyczce Form Generator for WordPress (wersje do 1.52) spowodowana niewłaściwą neutralizacją danych wejściowych. Umożliwia trwałe wstrzyknięcie skryptu, który wykona się w przeglądarce użytkownika.