Katalog podatności CVE

Przepełnienie bufora w sterowniku przetwarzania obrazów jednostki multimedialnej MIB3 pozwala atakującemu na wykonanie dowolnego kodu. Podatność została pierwotnie odkryta w samochodzie Skoda Superb III z jednostką MIB3 o numerze części OEM 3V0035820.

W jądrze Linux wykryto błąd wyścigu między huge_pmd_unshare() a GUP-fast. Funkcja huge_pmd_unshare() może usunąć współdzieloną tablicę stron, co w trakcie działania gup_fast() może spowodować przeglądanie tablic stron innego procesu. Poprawka dodaje jawny broadcast IPI.

W jądrze Linux, w mechanizmie hugetlb, oddzielanie tablic stron (VMA split) wyzwala usuwanie współdzielenia (unsharing) zbyt wcześnie, przed zablokowaniem VMA i rmap. Pozwala to na wyścigi z błędami stron i operacjami rmap, które mogą ponownie współdzielić tablice stron przed faktycznym podziałem. Łatka przenosi wywołanie unshare do momentu, gdy VMA i rmap są już zablokowane.

Wykryto krytyczną podatność w projekcie Food Distributor Site 1.0, która dotyczy nieznanego przetwarzania pliku /admin/process_login.php. Manipulacja argumentami username/password prowadzi do wstrzykiwania SQL.

Wykryto krytyczną podatność w xiaoyunjie openvpn-cms-flask do wersji 1.2.7, która dotyczy funkcji Upload w pliku app/plugins/oss/app/controller.py. Manipulacja argumentem image prowadzi do ataku typu path traversal, który może być przeprowadzony zdalnie.

Wykryto krytyczną podatność w eosphoros-ai db-gpt do wersji 0.7.2. Problem dotyczy funkcji import_flow w pliku /api/v2/serve/awel/flow/import, gdzie manipulacja argumentem File prowadzi do przejścia przez ścieżki.

TabberNeue to rozszerzenie MediaWiki, które umożliwia tworzenie zakładek. W wersjach od 3.0.0 do 3.1.1 każdy użytkownik może wprowadzić dowolny kod HTML do DOM, wstawiając ładunek do dowolnego dozwolonego atrybutu tagu `<tabber>`.

Podczas początkowej konfiguracji urządzenia użytkownik łączy się z punktem dostępowym emitowanym przez Sight Bulb Pro. W trakcie negocjacji klucze szyfrowania AES są przesyłane w postaci niezaszyfrowanej.

Występuje błąd w przejściu maszyny stanów w stosie Bluetooth Low Energy (BLE) w Cypress PSoC4 v3.66, który pozwala atakującym na ominięcie procesu parowania oraz autoryzacji za pomocą spreparowanego pakietu pairing_failed.

Podatność CVE-2025-53339 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w dodatkach Devnex dla Elementora. Problem ten dotyczy wersji Devnex Addons For Elementor od n/a do 1.0.9.

Podatność typu Cross-Site Request Forgery (CSRF) w dor re.place replace umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji re.place od n/a do 0.2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji Track Everything w wersjach od n/a do 2.0.1 umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy funkcjonalności Track Everything.

W podatności CVE-2025-53331 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce RSS Digest, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji RSS Digest od n/a do 1.5 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji Społecznościowa 6 PL 2013 umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Społecznościowa 6 PL 2013 od n/a do 2.0.6 włącznie.

W podatności CVE-2025-53317 występuje atak typu Cross-Site Request Forgery (CSRF) w motywie administracyjnym WPShapere dla WordPressa, co pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji motywu od n/a do 1.4.1.

Podatność typu Cross-Site Request Forgery (CSRF) w module Relocate Upload w alanft umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Relocate Upload od n/a do 0.24.1 włącznie.

W podatności CVE-2025-53313 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Twitch TV Embed Suite, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji od n/a do 2.1.0 włącznie.

W podatności CVE-2025-53312 występuje problem Cross-Site Request Forgery (CSRF) w aplikacji Looks Awesome OnionBuzz, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji OnionBuzz od n/a do 1.0.7 włącznie.

W podatności CVE-2025-53311 występuje atak typu Cross-Site Request Forgery (CSRF) w aplikacji Navayan Subscribe, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Navayan Subscribe od n/a do 1.13 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Funnnny HidePost umożliwia odzwierciedlone ataki XSS. Problem ten dotyczy wersji HidePost od n/a do 2.3.8 włącznie.