Katalog podatności CVE

W podatności CVE-2025-30975 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w funkcji 'Add Custom Codes' w SaifuMak. Problem ten dotyczy wersji od n/a do 4.80 włącznie.

W podatności CVE-2025-28977 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce ThimPress WP Pipes, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WP Pipes od n/a do 1.4.3.

Wtyczka Redirection for Contact Form 7 dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 3.2.4, poprzez deserializację nieufnych danych wejściowych w funkcji delete_associated_files. Atakujący bez uwierzytelnienia mogą wstrzyknąć obiekt PHP, jeśli na stronie znajduje się formularz z akcją przesyłania plików.

Wtyczka Redirection dla formularza kontaktowego 7 w WordPressie jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 3.2.4 włącznie, poprzez deserializację nieufnych danych wejściowych w funkcji get_lead_fields. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie obiektów PHP.

Wtyczka Redirection for Contact Form 7 dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji delete_associated_files we wszystkich wersjach do 3.2.4 włącznie. Umożliwia to nieautoryzowanym atakującym usuwanie dowolnych plików na serwerze.

W przeglądarkach Firefox i Thunderbird występują błędy związane z bezpieczeństwem pamięci w wersjach ESR 115.26, 128.13, 140.1 oraz 141. Niektóre z tych błędów mogą prowadzić do uszkodzenia pamięci, co potencjalnie umożliwia wykonanie dowolnego kodu.

W przeglądarkach Firefox ESR 140.1, Thunderbird ESR 140.1, Firefox 141 oraz Thunderbird 141 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu przy odpowiednim wysiłku.

Podatność CVE-2025-9182 dotyczy ataku typu denial-of-service spowodowanego brakiem pamięci w komponencie WebRender. Została naprawiona w wersjach Firefox 142, Firefox ESR 140.2, Thunderbird 142 oraz Thunderbird 140.2.

Podatność CVE-2025-9180 dotyczy obejścia zasady same-origin w komponencie Graphics: Canvas2D. Została naprawiona w wersjach Firefox 142, Firefox ESR 115.27, Firefox ESR 128.14, Firefox ESR 140.2, Thunderbird 142, Thunderbird 128.14 oraz Thunderbird 140.2.

Złośliwe skrypty mogły omijać blokadę okienek, co prowadziło do otwierania nowych kart, co potencjalnie mogło skutkować atakami typu denial of service. Ta podatność została naprawiona w Firefoxie dla iOS w wersji 142.

W systemie zarządzania sportem itsourcecode w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /Admin/sports.php. Manipulacja argumentem 'code' prowadzi do wstrzyknięcia SQL, co umożliwia zdalne wykorzystanie tej podatności.

W systemie zarządzania podróżami itsourcecode Online Tour w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcji w pliku /user/forget_password.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL.

W systemie zarządzania podróżami itsourcecode Online Tour w wersji 1.0 znaleziono lukę, która dotyczy nieznanego przetwarzania pliku /user/page-login.php. Manipulacja argumentem email prowadzi do wstrzyknięcia SQL.

Backend serwera Adform Site Tracking przed 2025-08-28 umożliwia atakującym wstrzykiwanie HTML lub wykonywanie dowolnego kodu poprzez przejęcie ciasteczek. Klient nie musi podejmować żadnych działań w celu aktualizacji lokalnie zainstalowanego oprogramowania.

Zidentyfikowano podatność w systemie zarządzania akademikami Surbowl do wersji 9f1d9d1f528cabffc66fda3652c56ff327fda317. Manipulacja argumentem ID w pliku /admin/violation_add.php prowadzi do możliwości wstrzyknięcia SQL.

Problem z niewłaściwą kontrolą dostępu w komponencie Workflow oprogramowania FileCatalyst firmy Fortra umożliwia nieautoryzowanym użytkownikom przesyłanie dowolnych plików za pośrednictwem strony formularzy zamówień.

W jądrze Linux w systemie plików ntfs3 występuje podatność polegająca na oznaczaniu aktywnego i-węzła jako uszkodzonego (bad inode) po niepowodzeniu usunięcia nazwy pliku. Może to prowadzić do problemów z pamięcią podręczną i-węzłów (icache) i potencjalnie do użycia po zwolnieniu.

W jądrze Linux wykryto podatność w mechanizmie epoll, która umożliwia nieograniczoną rekurencję podczas sprawdzania pętli. Brak odpowiedniego ograniczenia głębokości grafu epoll może prowadzić do przepełnienia stosu jądra.

W jądrze Linux w mechanizmie BPF i KTLS stwierdzono podatność na uszkodzenie danych. Podczas wysyłania danych jawnych (plaintext) długość szyfrogramu (ciphertext) nie jest ponownie obliczana po zmniejszeniu danych jawnych przez politykę gniazda, co prowadzi do przesyłania niezainicjalizowanych danych.

W podsystemie BPF w jądrze Linux wykryto podatność polegającą na tym, że instrukcja BPF_JSET (skok warunkowy, jeśli a & b) nie była poprawnie obsługiwana w funkcji can_jump() podczas obliczania grafu przepływu sterowania (CFG). Prowadziło to do nieprawidłowego określenia żywych rejestrów i obliczeń SCC.