Katalog podatności CVE

Wtyczka Piotnet Forms do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wszystkich wersji do 1.0.30 włącznie.

Wtyczka Double the Donation ma podatność Stored XSS polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2.0.0 włącznie.

Wtyczka AnyClip Luminous Studio (anyclip-media) zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.3.3.

Wtyczka Epeken All Kurir do WordPressa jest podatna na atak typu Stored XSS (Cross-Site Scripting) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 2.0.6 włącznie.

Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.

W usłudze rezerwacji posiłków ARD odkryto podatność na atak typu Cross-Site Scripting (XSS). Podatność występuje w parametrze transactionID w adresie URL strony potwierdzenia transakcji. Z powodu niewłaściwej walidacji wejścia i kodowania wyjścia, atakujący może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary.

Wtyczka AffiliateWP – External Referral Links do WordPressa jest podatna na atak typu Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Podatność dotyczy wersji do 1.2.0 włącznie.

Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych) w wtyczce Goracash firmy davaxi pozwala na przechowywany XSS. Problem dotyczy Goracash w wersjach od n/a do <= 1.1.

W PivotX CMS w wersji 3.0.0 RC 3 odkryto podatność na atak XSS (Cross Site Scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez pole subtitle.

Podatność SQL Injection w oprogramowaniu ARD GEC en Lign przed wersją z 23 kwietnia 2025 roku umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametry GET w pliku index.php.

Podatność CVE-2025-9035 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w platformie Virtual Library firmy Horato Internet Technologies Ind. And Trade Inc., co pozwala na ataki typu Reflected XSS.

W podatności CVE-2025-8079 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Smart Trade E-Commerce, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji przed 4.5.0.0.1.

Podatność CVE-2025-0875 dotyczy systemu OBS (System Informacji o Sprawach Studenckich) firmy PROLIZ, umożliwiając obejście autoryzacji poprzez wstrzykiwanie parametrów. Problem ten występuje w wersjach przed v26.0328.

W Artifex GhostXPS przed wersją 10.06.0 występuje przepełnienie bufora na stosie w funkcji xps_unpredict_tiff w pliku xpstiff.c, ponieważ wartość samplesperpixel nie jest sprawdzana. Może to prowadzić do awarii lub potencjalnego wykonania kodu.

W h2oai h2o-3 do wersji 3.46.08 wykryto podatność w nieznanej funkcji pliku /99/ImportSQLTable, związanej ze sterownikiem IBMDB2 JDBC. Manipulacja argumentem connection_url prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Aplikacja SKTLab Mukbee w wersji 1.01.196 na Androida ma podatność w nieznanej funkcji pliku AndroidManifest.xml komponentu com.dw.android.mukbee, polegającą na niewłaściwym eksporcie komponentów aplikacji. Atak musi być zainicjowany lokalnie, a exploit jest publicznie dostępny i może być użyty. Producent został powiadomiony, ale nie odpowiedział.

W jądrze Linux zdefiniowano ARCH_PAGE_TABLE_SYNC_MASK i arch_sync_kernel_mappings(), aby zapewnić prawidłową synchronizację tablic stron podczas wywoływania p*d_populate_kernel(). Łata naprawia sporadyczne błędy rozruchu na systemach z 4-poziomowym stronicowaniem i dużą ilością pamięci trwałej oraz awarię w vmemmap_set_pmd() spowodowaną dostępem do vmemmap przed sync_global_pgds().

W aplikacji Ooma Office Business Phone App do wersji 7.2.2 na Androidzie znaleziono podatność. Dotyczy ona nieznanej części komponentu com.ooma.office2. Manipulacja prowadzi do nieprawidłowego eksportu komponentów aplikacji na Androida. Atak wymaga dostępu lokalnego. Exploit został opublikowany i może być użyty. Dostawca został poinformowany, ale nie odpowiedział.

W podatności CVE-2025-8664 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w systemie zarządzania e-gminą StarCities, co umożliwia ataki typu Cross-Site Scripting (XSS). Problem dotyczy wersji przed 20250825.