Katalog podatności CVE

Podatność CVE-2025-48236 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w bunny.net. Problem ten dotyczy wersji bunny.net od n/a do 2.3.0.

Podatność typu Cross-Site Request Forgery (CSRF) w integracji Google reCAPTCHA w menedżerze afiliacji affmngr umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji integracji od n/a do 1.0.6 włącznie.

W jądrze Linux w podsystemie ALSA UMP wykryto przepełnienie bufora podczas konwersji komunikatów SysEx z MIDI 1.0 na UMP. Funkcja konwertująca używała zbyt małego bufora (4 bajty) dla formatu SysEx, który może wymagać do 6 bajtów, co prowadzi do przepełnienia i potencjalnego uszkodzenia pamięci.

Oprogramowanie ThreatSonar Anti-Ransomware od TeamT5 zawiera podatność na eskalację uprawnień, która pozwala zdalnym atakującym z pośrednimi uprawnieniami na podniesienie swoich uprawnień do najwyższego poziomu administratora za pomocą określonego interfejsu API.

Atakujący mógł wykonać odczyt lub zapis poza granicami na obiekcie JavaScript, myląc rozmiary indeksów tablic. Ta podatność została naprawiona w wersjach Firefox 138.0.4, Firefox ESR 128.10.1, Firefox ESR 115.23.1, Thunderbird 128.10.2 oraz Thunderbird 138.0.2.

Cocotais Bot, oparty na frameworku qq-bot-sdk, ma lukę w funkcji echo, która pozwala użytkownikom na wywoływanie uprzywilejowanych działań poprzez wstrzykiwanie specjalnych tagów platformy. Użytkownik bez uprawnień może użyć komendy `/echo <qqbot-at-everyone />`, co powoduje, że bot wysyła wiadomość do wszystkich członków czatu, omijając kontrolę uprawnień.

Wtyczka WPBot Pro Chatbot dla WordPressa jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji qcld_openai_delete_training_file() we wszystkich wersjach do 13.6.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej usuwanie dowolnych plików na serwerze.

Oprogramowanie uruchamiane jako użytkownik bez uprawnień może wykonywać nieprawidłowe wywołania systemowe GPU, co prowadzi do wyjątków kernelowych związanych z użyciem po zwolnieniu pamięci.

W podatności CVE-2025-48146 występuje atak typu Cross-Site Request Forgery (CSRF) w SEO Flow autorstwa LupsOnline, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji SEO Flow od n/a do 2.2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Import Export For WooCommerce umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.2 włącznie.

W podatności CVE-2025-48137 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji proxymis Interview. Problem dotyczy wersji Interview od n/a do 1.01 włącznie.

Podatność CVE-2025-48136 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten występuje w Estatik Mortgage Calculator w wersjach od n/a do 2.0.12.

Podatność CVE-2025-48134 dotyczy deserializacji niezaufanych danych w wtyczce WP Tabs wp-expand-tabs-free od ShapedPlugin LLC, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji WP Tabs od n/a do 2.2.12 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w ShayanWeb Admin FontChanger umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji ShayanWeb Admin FontChanger od n/a do 1.9.1 włącznie.

W podatności CVE-2025-48112 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy stron Dot html,php,xml w wersjach do 1.0.

Podatność CVE-2025-47693 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w usłudze FAT Services Booking w wersjach od n/a do 5.5. Umożliwia to atakującym dostęp do wrażliwych danych na serwerze.

W podatności CVE-2025-47567 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w odtwarzaczu wideo LambertGroup. Problem dotyczy wersji od n/a do 2.4.1 włącznie.

W podatności CVE-2025-39537 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Better Customer List dla WooCommerce. Problem dotyczy wersji od n/a do 1.2.3 włącznie.

Podatność CVE-2025-39507 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w NasaTheme Nasa Core w wersjach od n/a do poniżej 6.4.4.

Podatność typu Path Traversal w WHMPress umożliwia przejście do katalogów nadrzędnych. Problem ten dotyczy wersji WHMpress od 6.2 wzwyż.