Katalog podatności CVE

W GIMPie wykryto usterkę podczas przetwarzania plików obrazów XCF. Jeśli użytkownik otworzy specjalnie spreparowany plik, GIMP może popełnić poważne błędy pamięci, prowadzące do awarii i problemów typu use-after-free.

W GIMPie wykryto błąd podczas przetwarzania specjalnie spreparowanych plików TGA. Otwarcie takiego pliku przez użytkownika może spowodować poważne błędy pamięci, prowadzące do przepełnienia bufora sterty i awarii programu.

W GIMPie wykryto podatność w funkcji ani_load_image(), która prowadzi do przepełnienia bufora na stosie. Otwarcie specjalnie spreparowanego pliku .ANI może spowodować wykonanie dowolnego kodu przez atakującego.

W przeglądarce Firefox 138 i kliencie pocztowym Thunderbird 138 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.

W niektórych przypadkach SNI mógł być wysyłany w postaci niezaszyfrowanej, nawet gdy włączono szyfrowane DNS. Ta podatność została naprawiona w wersjach Firefox 139 i Thunderbird 139.

W Firefox ESR 128.10 oraz Thunderbird 128.10 występuje błąd związany z bezpieczeństwem pamięci, który wykazuje oznaki uszkodzenia pamięci. Istnieje przypuszczenie, że przy wystarczającym wysiłku mógłby zostać wykorzystany do uruchomienia dowolnego kodu.

W przeglądarkach Firefox 138, Thunderbird 138, Firefox ESR 128.10 oraz Thunderbird 128.10 występują błędy związane z bezpieczeństwem pamięci. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci, co może umożliwić uruchomienie dowolnego kodu.

Wtyczka Property dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień przy użyciu metadanych property_package_user_role w wersjach od 1.0.5 do 1.0.6. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie autora i wyżej, podniesienie swoich uprawnień do poziomu administratora.

Podatność CVE-2025-41653 pozwala nieautoryzowanemu zdalnemu atakującemu na wykorzystanie luki w funkcjonalności serwera WWW urządzenia poprzez wysłanie specjalnie skonstruowanego żądania HTTP z złośliwym nagłówkiem. Może to prowadzić do awarii serwera lub jego braku reakcji.

Podatność CVE-2025-41650 dotyczy braku walidacji danych wejściowych w usługach cmd urządzeń, co pozwala nieautoryzowanemu zdalnemu atakującemu na zakłócenie operacji systemowych. Może to prowadzić do odmowy usługi.

Podatność CVE-2025-41649 pozwala nieautoryzowanemu zdalnemu atakującemu na wykorzystanie niewystarczającej walidacji danych wejściowych do zapisu danych poza granicami bufora. Może to prowadzić do stanu odmowy usługi dla urządzeń.

Screen w wersji 5.0.0, działający z uprawnieniami setuid-root, nie obniża uprawnień podczas operacji na ścieżkach dostarczonych przez użytkownika. Umożliwia to nieuprzywilejowanym użytkownikom tworzenie plików w dowolnych lokalizacjach z własnością `root`, grupą właściciela użytkownika oraz trybem pliku 0644.

Nieautoryzowany zdalny atakujący może uzyskać dostęp do adresu URL, co powoduje ponowne uruchomienie urządzenia.

Nieautoryzowany zdalny atakujący może uzyskać dostęp do informacji o działających procesach za pośrednictwem protokołu SNMP. Ilość zwracanych danych może spowodować ponowne uruchomienie systemu przez watchdog.

Zidentyfikowano krytyczną podatność w kamerach Sony SNC-M1, SNC-M3, SNC-RZ25N, SNC-RZ30N, SNC-DS10, SNC-CS3N oraz SNC-RX570N do wersji 1.30. Problem dotyczy interfejsu administracyjnego i prowadzi do możliwości wykorzystania domyślnych danych logowania.

Wtyczka eMagicOne Store Manager dla WooCommerce w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji set_file() we wszystkich wersjach do i włącznie z 1.2.5. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W podatności CVE-2025-48292 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce GoodLayers Tourmaster. Problem dotyczy wersji Tourmaster od n/a do 5.3.8 włącznie.

Podatność CVE-2025-48286 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji ReDi Restaurant Reservation, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 24.1209 włącznie.

Podatność typu 'Path Traversal' w wtyczce WP Job Portal umożliwia atakującym dostęp do plików poza dozwoloną ścieżką katalogu. Problem dotyczy wersji WP Job Portal od n/a do 2.3.2.

Podatność CVE-2025-48245 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Quick Contact Form, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 8.2.1 włącznie.