Katalog podatności CVE

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 13.9 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł dodać nieautoryzowane adresy e-mail do kont ofiar poprzez wstrzyknięcie HTML w tytułach przypadków testowych.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 10.8 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, nieautoryzowany użytkownik mógł spowodować odmowę usługi, wysyłając powtarzające się zapytania GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.2 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na kradzież tokenów i dostęp do prywatnych repozytoriów poprzez niewłaściwą walidację w Web IDE.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.1 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł wykonać nieautoryzowane działania w imieniu innego użytkownika, wprowadzając złośliwą treść do przepływu kodu podatności.

Podatność CVE-2025-10174 dotyczy oprogramowania PanCafe Pro, które umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. Problem ten występuje w wersjach od < 3.3.2 do 23092025.

Wtyczka 'Videospirecore Theme Plugin' dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.0.6 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak adres e-mail.

Wtyczka Custom Block Builder – Lazy Blocks dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.0, poprzez wiele funkcji w klasie 'LazyBlocks_Blocks'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wykonanie kodu na serwerze.

Podatność CVE-2025-9986 w systemie DIGIKENT firmy Vadi Corporate Information Systems Ltd. Co. umożliwia nieautoryzowany dostęp do wrażliwych informacji systemowych. Problem ten dotyczy systemu do 30 września 2025 roku.

Wtyczka iONE360 configurator dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry formularza kontaktowego we wszystkich wersjach do i włącznie z 2.0.57 z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13651 w Microcom ZeusWeb umożliwia nieautoryzowanym osobom dostęp do wrażliwych informacji systemowych poprzez fingerprinting aplikacji webowej. Problem dotyczy wersji ZeusWeb: 6.1.31.

Podatność CVE-2025-10913 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie TemizlikYolda firmy Saastech Cleaning and Internet Services Inc., co pozwala na ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji TemizlikYolda do 11022026.

Wtyczka Lucky Wheel Giveaway dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.0.22 poprzez parametr conditional_tags. Problem wynika z użycia funkcji eval() w PHP na danych kontrolowanych przez użytkownika bez odpowiedniej walidacji lub sanitizacji.

Zagrożone produkty są podatne na nieobsłużony wyjątek, który może pozwolić nieautoryzowanemu atakującemu na zdalne zablokowanie usług rdzenia PI, co prowadzi do odmowy usługi.

Wersje Lightroom Desktop 15.1 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.

Podatność przepełnienia bufora w programie ładującym AMD Secure Processor (ASP) umożliwia atakującemu nadpisanie pamięci, co może prowadzić do eskalacji uprawnień i wykonania dowolnego kodu.

Podatność CVE-2025-29950 wynika z nieprawidłowej walidacji danych wejściowych w trybie zarządzania systemem (SMM). Uprzywilejowany atakujący może wykorzystać ten błąd do nadpisania pamięci stosu, co może prowadzić do wykonania dowolnego kodu.

Podatność wynika z nieprawidłowej walidacji danych wejściowych w handlerze SMM, co może pozwolić atakującemu z dostępem Ring0 na zapis do SMRAM i modyfikację przepływu wykonywania kodu podczas wybudzania ze stanu S3 (uśpienia). Może to prowadzić do wykonania dowolnego kodu.

Nieprawidłowa walidacja parametrów wywołań systemowych w Trusted OS może pozwolić złośliwemu sterownikowi na wykonanie operacji mapowania lub odmapowania dużej liczby stron, co potencjalnie prowadzi do uszkodzenia pamięci jądra.

MUNGE to usługa uwierzytelniania do tworzenia i weryfikacji poświadczeń użytkowników. W wersjach od 0.5 do 0.5.17 lokalny atakujący może wykorzystać przepełnienie bufora w procesie munged (demon uwierzytelniania MUNGE) do wycieku materiału klucza kryptograficznego z pamięci procesu. Uzyskany materiał klucza umożliwia fałszowanie dowolnych poświadczeń MUNGE i podszywanie się pod dowolnego użytkownika (w tym roota) w usługach polegających na MUNGE do uwierzytelniania.

Wersje DNG SDK 1.7.1 2410 i wcześniejsze są podatne na błąd przepełnienia lub owinięcia liczby całkowitej, co może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej podatności wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.