Katalog podatności CVE

W podatności CVE-2025-30960 występuje brak autoryzacji w wtyczce FS Poster, co może prowadzić do nieautoryzowanego dostępu. Problem dotyczy wersji FS Poster od n/a do 6.5.8.

W jądrze Linuxa wykryto podatność w sterowniku USB xHCI dla kontrolerów NEC uPD720200. Brak ustawionego bitu łańcucha (chain bit) w TRB łącza dla izochronicznych punktów końcowych powoduje błędy IOMMU i pomijanie segmentów pierścienia transferowego, co może prowadzić do zapisu danych do przypadkowych buforów.

W systemie plików bcachefs w jądrze Linux stwierdzono błędy w funkcji bch2_ioctl_subvolume_destroy(). Funkcja bch2_evict_subvolume_inodes() zawieszała się z powodu nieprawidłowego czyszczenia dcache, a także brakowało kontroli uprawnień.

W podatności CVE-2024-52281 w SUSE Rancher występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co pozwala złośliwemu aktorowi na przeprowadzenie ataku typu Stored XSS poprzez pole opisu klastra. Problem dotyczy wersji Rancher od 2.9.0 do przed 2.9.4.

Podatność CVE-2025-32923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce GoodLayers Tourmaster, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Tourmaster od n/a do poniżej 5.4.1.

Podatność CVE-2025-30984 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w narzędziach SEO Dzynit. Problem ten dotyczy wersji od n/a do 4.0.7 włącznie.

Podatność CVE-2025-30970 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Easy Contact w wersjach od n/a do 0.1.2. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

W podatności CVE-2025-27011 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Booking and Rental Manager w wersjach od n/a do 2.2.8.

W podatności CVE-2025-27008 występuje brak autoryzacji w aplikacji NotFound Unlimited Timeline, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Unlimited Timeline od n/a do poniżej 1.6.1.

W podatności CVE-2025-26953 wtyczki Crocoblock JetMenu występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetMenu od n/a do 2.4.9 włącznie.

W podatności CVE-2025-26908 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Gurmehub Kargo Entegratör. Problem dotyczy wersji Kargo Entegratör od n/a do 1.1.14.

Podatność typu Cross-Site Request Forgery (CSRF) w Arkhe od looswebstudio umożliwia lokalne włączenie plików PHP. Problem ten dotyczy wersji Arkhe od n/a do 3.12.0 włącznie.

Podatność CVE-2025-26746 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Advanced Custom Fields: Link Picker Field w wersjach od n/a do 1.2.8. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

Podatność CVE-2025-26730 dotyczy ujawnienia wrażliwych informacji systemowych w Macro Calculator z opcją subskrypcji e-mail dla administratora. Problem ten występuje w wersjach od n/a do 1.0.

Podatność CVE-2025-22263 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w NotFound Global Gallery, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji Global Gallery od n/a do 8.8.0.

Podatność w produkcie MySQL Connectors Oracle MySQL (komponent: Connector/J). Dotknięte wersje to 9.0.0-9.2.0. Podatność trudna do wykorzystania pozwala atakującemu z niskimi uprawnieniami i dostępem sieciowym przez wiele protokołów na naruszenie MySQL Connectors. Udane ataki mogą skutkować przejęciem MySQL Connectors. Wynik CVSS 3.1: 7.5 (wpływ na poufność, integralność i dostępność). Wektor CVSS: (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H).

make-initrd-ng to narzędzie do kopiowania binariów i ich zależności. Występuje lokalna eskalacja uprawnień, która dotyczy wszystkich użytkowników NixOS, umożliwiająca lokalnemu użytkownikowi stworzenie programu, który zostanie wykonany przez roota podczas zamykania systemu.

TEIGarage to usługa internetowa i RESTful, która umożliwia transformację, konwersję i walidację różnych formatów, koncentrując się na formacie TEI. Usługa konwersji dokumentów zawiera krytyczną podatność na wstrzyknięcie zewnętrznych jednostek XML (XXE), co pozwala atakującemu na odczyt dowolnych plików z systemu plików serwera.

BleachBit to narzędzie do czyszczenia plików, które zwalnia miejsce na dysku i chroni prywatność. Wersje BleachBit dla systemu Windows do 4.6.2 są podatne na atak typu DLL Hijacking, co pozwala na wykonanie dowolnego kodu przez umieszczenie złośliwego pliku DLL o nazwie uuid.dll w określonym folderze.

W systemach infotainment Oncord+ na Androidzie 12, model TS17, występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu przez komponent portu ADB. Dotyczy to sprzętu o numerze części F57L_V3.2_20220301 oraz numerze kompilacji PlatformVER:K24-2023/05/09-v0.01.