Katalog podatności CVE

Podatność typu Path Traversal w WHMPress umożliwia atakującym dostęp do plików systemowych. Problem ten dotyczy wersji WHMpress od 6.2 do aktualnej rewizji.

Podatność CSRF w wtyczce ThemeMove QuickCal - Kalendarz Rezerwacji Spotkań dla WordPress umożliwia eskalację uprawnień. Problem dotyczy wersji QuickCal - Kalendarz Rezerwacji Spotkań dla WordPress od n/a do 1.0.15 włącznie.

W podatności CVE-2025-32307 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w odtwarzaczu audio HTML5 Chameleon. Problem dotyczy wersji od n/a do 3.5.6 włącznie.

Wtyczka Radio Player Shoutcast & Icecast dla WordPressa zawiera podatność na SQL Injection, która pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem dotyczy wersji od n/a do 4.4.6.

Wtyczka CountDown Pro WP Plugin w wersjach od n/a do 2.7 zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Ta luka umożliwia atakującym wykonanie nieautoryzowanych zapytań do bazy danych.

Podatność CVE-2025-32290 dotyczy odtwarzacza muzyki Sticky HTML5 firmy LambertGroup, który umożliwia atak typu SQL Injection. Problem występuje w wersjach od n/a do 3.1.6 włącznie.

W podatności CVE-2025-32287 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w odtwarzaczu audio LambertGroup Responsive HTML5 Audio Player PRO With Playlist w wersjach od n/a do 3.5.7.

W podatności CVE-2025-31928 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce Multimedia Responsive Carousel z obsługą obrazów, wideo i audio. Problem dotyczy wersji od n/a do 2.6.0 włącznie.

W podatności CVE-2025-31926 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w odtwarzaczu Sticky Radio Player w wersjach od n/a do 3.4. Problem ten może umożliwić atakującym manipulację bazą danych aplikacji.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce CSS3 Accordions dla WordPressa umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 3.0 włącznie.

Podatność CVE-2025-31641 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce UberSlider w wersjach poniżej 2.6.

W podatności CVE-2025-31640 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Magic Responsive Slider and Carousel dla WordPressa. Problem dotyczy wersji od n/a do poniżej 1.6.

W podatności CVE-2025-31637 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji LambertGroup SHOUT lbg-audio8-html5-radio_ads. Problem ten dotyczy wersji SHOUT od n/a do 3.5.3 włącznie.

W module Qt corelib na Windows znaleziono podatność na ataki symlinkowe przez funkcję QFileSystemEngine. Użycie GetTempPath API umożliwia manipulację ścieżkami plików tymczasowych, co może prowadzić do nieautoryzowanego dostępu i eskalacji uprawnień.

W jądrze Linux w schedulerze sieciowym HFSC występuje podatność use-after-free, gdy klasa HFSC ma netem jako dziecko qdisc. Sprawdzenie cl->qdisc->q.qlen == 0 nie gwarantuje, że klasa nie została wstawiona do vttree/eltree, co prowadzi do podwójnego wstawienia i UAF.

Zidentyfikowano podatność typu przejście ścieżki w funkcjonalności pobierania plików. Umożliwia ona nieautoryzowanym użytkownikom pobieranie dowolnych plików z serwera Linux w kontekście serwera aplikacji.

W CBEWIN Anytxt Searcher w wersji 1.3.1128.0 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku ATService.exe. Manipulacja prowadzi do niekontrolowanej ścieżki wyszukiwania.

Kontroler rdzenia pakietów Ericsson (PCC) zawiera podatność, która pozwala atakującemu na wysłanie dużej liczby specjalnie przygotowanych wiadomości, co może prowadzić do degradacji usług.

W systemie sprzedaży i zarządzania zapasami Campcodes w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem id/nazwa w pliku /pages/ci_update.php prowadzi do wstrzyknięcia SQL, co umożliwia zdalne przeprowadzenie ataku.

Wibu CodeMeter przed wersją 8.30a czasami umożliwia eskalację uprawnień natychmiast po instalacji, zanim nastąpi wylogowanie lub ponowne uruchomienie. Wymagana jest instalacja bez uprawnień z UAC oraz zainstalowany komponent CodeMeter Control Center, który nie został zrestartowany.