Katalog podatności CVE

NVIDIA Project G-Assist zawiera podatność, która może umożliwić atakującemu eskalację uprawnień. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, manipulacji danymi, odmowy usługi oraz ujawnienia informacji.

OctoPrint-SpoolManager to wtyczka do zarządzania szpulami i ich metadanymi. W wersjach 1.8.0a2 i starszych z gałęzi testowej oraz 1.7.7 i starszych z gałęzi stabilnej, API wtyczki nie wymuszają poprawnie uwierzytelniania ani autoryzacji. Problem ten został naprawiony w wersjach 1.8.0a3 i 1.7.8.

W podatności CVE-2025-61136 występuje luka w komponentach resetowania hasła w axewater sharewarez v2.4.3, która pozwala zdalnym atakującym na przeprowadzenie ataku typu password reset poisoning oraz przejęcie konta poprzez manipulację nagłówkiem Host. Problem występuje, gdy Flask generuje linki resetujące hasło bez ustalonej wartości SERVER_NAME.

W podatności CVE-2025-61132 występuje luka w komponentach resetowania hasła w levlaz braindump v0.4.14, która pozwala zdalnym atakującym na przeprowadzenie ataku typu password reset poisoning oraz przejęcie konta poprzez manipulację nagłówkiem Host. Problem występuje, gdy Flask generuje linki do resetowania haseł bez ustalonej wartości SERVER_NAME.

W bibliotece libsoup, używanej przez aplikacje GNOME i WebKit do obsługi HTTP/2, wykryto podatność w obsłudze asynchronicznej kolejki komunikatów. Przy określonym czasie przerywania operacji sieciowych dochodzi do podwójnego zwolnienia elementu kolejki z powodu braku synchronizacji stanu, co prowadzi do użycia po zwolnieniu (use-after-free). Atakujący może zdalnie wywołać tę podatność poprzez odpowiednie sekwencje HTTP/2, powodując awarię aplikacji.

Podatność CVE-2025-10914 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie OBS (System Informacji o Sprawach Studenckich) firmy Proliz Software Ltd. Co. Umożliwia to ataki typu Reflected XSS.

W podatności CVE-2025-11575 występuje nieprawidłowa domyślna konfiguracja uprawnień w sterowniku ODBC dla MongoDB Atlas SQL na systemie Windows, co umożliwia eskalację uprawnień. Problem dotyczy wersji sterownika od 1.0.0 do 2.0.0.

Hono to framework aplikacji webowych, który wspiera dowolne środowisko JavaScript. W wersjach od 1.1.0 do przed 4.10.2, middleware JWT Auth w Hono nie zapewnia wbudowanej opcji weryfikacji aud (audience), co może prowadzić do problemów z mieszaniem tokenów i niezamierzonego dostępu między usługami.

W my little forum, przed wersją 2.5.12, występowała podatność na wstrzykiwanie SQL w funkcji porządkowania zakładek, która pozwalała zalogowanym użytkownikom na wykonywanie dowolnych poleceń SQL. Może to prowadzić do pełnego kompromitacji bazy danych aplikacji, w tym do odczytu, modyfikacji lub usunięcia wszystkich danych.

Podatność CVE-2025-62054 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywie Houzez w wersjach od n/a do 4.1.8.

Podatność CVE-2025-62029 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w wersjach Grevo od n/a do 2.4 włącznie.

W BuddyPress występuje luka związana z brakiem autoryzacji, która dotyczy wersji od n/a do 14.3.4. Problem ten może prowadzić do nieautoryzowanego dostępu do zasobów.

W podatności CVE-2025-62020 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie VOD Infomaniak w wersjach od n/a do 1.5.11.

Podatność CVE-2025-62015 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Advanced Coupons for WooCommerce Coupons w wersjach od n/a do 4.6.8.

Podatność polegająca na deserializacji niezaufanych danych w produkcie acowebs Product Table dla WooCommerce. Problem ten dotyczy wersji Product Table For WooCommerce od n/a do 1.2.4 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w bPlugins Voice Feedback umożliwia eskalację uprawnień. Problem ten dotyczy wersji Voice Feedback od n/a do 1.0.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce FantasticPlugins SUMO Memberships dla WooCommerce umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji SUMO Memberships dla WooCommerce od n/a do poniżej 7.8.0.

Podatność CVE-2025-60246 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w kalkulatorze finansowym Simple Finance Calculator, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji kalkulatora od n/a do 1.0 włącznie.

Podatność CVE-2025-60234 dotyczy deserializacji niezaufanych danych w wtyczce Single Property designthemes, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 2.8.

Podatność na deserializację niezaufanych danych w Knowledge Base od designthemes umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Knowledge Base od n/a do 2.9 włącznie.