Katalog podatności CVE

Wtyczka Mayosis Core dla WordPressa jest podatna na nieautoryzowane odczyty plików w wersjach do 5.4.1 włącznie, poprzez plik library/wave-audio/peaks/remote_dl.php. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

Wtyczka BM Content Builder dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w akcji AJAX ux_cb_tools_import_item_ajax we wszystkich wersjach do 3.16.2.1 włącznie.

API interfejsu graficznego Quantum StorNext przed wersją 7.2.4 umożliwia dostęp do wewnętrznej konfiguracji StorNext oraz nieautoryzowaną modyfikację niektórych parametrów konfiguracyjnych oprogramowania za pomocą niedokumentowanych poświadczeń użytkownika. Dotyczy to StorNext RYO, StorNext Xcellis Workflow Director oraz ActiveScale Cold Storage przed wersją 7.2.4.

Motyw Vikinger dla WordPressa jest podatny na eskalację uprawnień we wszystkich wersjach do i włącznie z 1.9.30. Problem wynika z niewystarczających ograniczeń user_meta w funkcji 'vikinger_user_meta_update_ajax'.

OpenPLC w wersji od 3 do 64f9c11 zawiera błąd związany z uszkodzeniem pamięci w pliku server.cpp, ponieważ wątek może uzyskać dostęp do argumentów handleConnections po tym, jak macierzysta ramka stosu stanie się niedostępna.

Moduły Mitsubishi Electric CC-Link IE TSN (w tym moduły Remote I/O, Analog-Digital Converter, Digital-Analog Converter, FPGA, Remote Station Communication LSI CP620 z GbE-PHY, MELSEC iQ-R Series CC-Link IE TSN Master/Local Module, Ethernet Interface Module, CC-Link IE TSN Master/Local Station Communication LSI CP610, MELSEC iQ-F Series FX5 CC-Link IE TSN Master/Local Module, FX5 Ethernet Module, FX5-ENET/IP Ethernet Module oraz MELSEC iQ-R Series CPU module) zawierają podatność polegającą na nieprawidłowej walidacji określonej ilości w danych wejściowych. Zdalny nieuwierzytelniony atakujący może wysłać specjalnie spreparowane pakiety UDP, powodując odmowę usługi (DoS).

React Router w wersjach 7.0 przed 7.5.2 umożliwia modyfikację danych przed renderowaniem poprzez dodanie nagłówka do żądania. To pozwala na całkowite sfałszowanie zawartości i modyfikację wszystkich wartości obiektu danych przekazywanego do HTML.

React Router, używany w aplikacjach React, ma podatność od wersji 7.2.0 do 7.5.2, która pozwala na wymuszenie przełączenia aplikacji w tryb SPA poprzez dodanie nagłówka do żądania. W przypadku aplikacji korzystających z SSR, wymuszenie tego trybu prowadzi do błędu, który całkowicie psuje stronę.

Ładowarka AC Vestel w wersji 3.75.0 zawiera podatność, która może umożliwić atakującemu dostęp do plików zawierających wrażliwe informacje, takie jak dane uwierzytelniające. Te informacje mogą być wykorzystane do dalszego kompromitowania urządzenia.

Oprogramowanie ALBEDO Telecom Net.Time - PTP/NTP clock w wersji 1.4.4 jest podatne na niewystarczające wygasanie sesji, co może pozwolić atakującemu na przesyłanie haseł przez niezaszyfrowane połączenia. To zwiększa ryzyko przechwycenia danych przez osoby trzecie.

Wtyczka eForm - WordPress Form Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting we wszystkich wersjach do 4.18.0 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Podatność typu Cross-Site Request Forgery (CSRF) w HuangYe WuDeng Hacklog Remote Attachment umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Hacklog Remote Attachment od n/a do 1.3.2 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w kalendarzu dostępności Steve'a umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji Kalendarza dostępności od n/a do 0.2.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Filter Post Category umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1.4 włącznie.

W podatności CVE-2025-46522 występuje problem Cross-Site Request Forgery (CSRF) w Billy Bryant Tabs gt-tabs, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Tabs od n/a do 4.0.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Related Posts via Taxonomies umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.0.1 włącznie.

W podatności CVE-2025-46516 występuje problem Cross-Site Request Forgery (CSRF) w narzędziu silencecm Twitter Card Generator, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji Twitter Card Generator od n/a do 1.0.5 włącznie.

W podatności CVE-2025-46514 występuje problem Cross-Site Request Forgery (CSRF) w bibliotece Milat jQuery Automatic Popup, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Milat jQuery Automatic Popup od n/a do 1.3.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Shamim Hasan Custom Functions Plugin umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wtyczki Custom Functions Plugin w wersjach od n/a do 1.1.

W podatności CVE-2025-46510 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Contact Form 7 Calendar, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji wtyczki od n/a do 3.0.1 włącznie.