Katalog podatności CVE

Wtyczka Barcode Generator dla WooCommerce zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.0.4.

Podatność CVE-2025-31011 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w SimplyRETS Real Estate IDX, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.2.2 włącznie.

Podatność CVE-2025-30962 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce FS Poster w wersjach od n/a do 6.5.8. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-26992 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Landing Page Cat, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.7.8 włącznie.

W podatności CVE-2025-26959 występuje brak autoryzacji w systemie Administrator Z, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Administrator Z od n/a do 2025.03.24.

W podatności CVE-2025-26958 wtyczka JetBlog od Crocoblock występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcjonalności, która nie jest właściwie zabezpieczona przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetBlog od n/a do 2.4.3 włącznie.

Podatność CVE-2025-26954 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce 1pluginjquery ZooEffect, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji ZooEffect od n/a do 1.11 włącznie.

W podatności CVE-2025-26944 występuje brak odpowiednich mechanizmów autoryzacji w wtyczce Crocoblock JetPopup, co pozwala na dostęp do funkcji, które nie są właściwie ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetPopup od n/a do 2.0.11 włącznie.

W Crocoblock JetTricks występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetTricks od n/a do 1.5.1 włącznie.

W podatności CVE-2025-26894 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem ten dotyczy wtyczki Coming Soon, Maintenance Mode w wersjach od n/a do 1.1.1.

Podatność CVE-2025-26889 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w hockeydata LOS w wersjach od n/a do 1.2.4.

Podatność CVE-2025-26743 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Advance WP Query Search Filter w wersjach od n/a do 1.0.10.

W AWEOS GmbH Email Notifications for Updates występuje luka związana z brakiem autoryzacji, która umożliwia eskalację uprawnień. Problem ten dotyczy wersji Email Notifications for Updates od n/a do 1.1.6 włącznie.

W bibliotece libsoup odkryto podatność w funkcji soup_multipart_new_from_message(), która umożliwia odczyt poza dozwolonym zakresem pamięci. Złośliwy klient HTTP może wykorzystać ten błąd, aby zmusić serwer libsoup do odczytu danych spoza przydzielonego bufora.

W bibliotece libsoup wykryto podatność polegającą na dereferencji wskaźnika NULL w funkcji soup_message_headers_get_content_disposition(). Złośliwy klient lub serwer HTTP może wykorzystać ten błąd do spowodowania awarii aplikacji korzystającej z libsoup.

W bibliotece libsoup wykryto podatność w implementacji serwera HTTP/2. Serwer nie w pełni waliduje wartości pseudo-nagłówków :scheme, :authority i :path, co może umożliwić atakującemu przeprowadzenie ataku typu Denial of Service (DoS).

W bibliotece libsoup odkryto podatność w funkcji soup_headers_parse_request(), która może prowadzić do odczytu poza dozwolonym zakresem pamięci. Umożliwia to atakującemu wysłanie specjalnie spreparowanego żądania HTTP, powodującego awarię serwera HTTP.

W systemie veal98 小牛肉 Echo w wersji 4.2 odkryto krytyczną podatność, która dotyczy funkcji uploadMdPic w pliku /discuss/uploadMdPic. Manipulacja argumentem editormd-image-file prowadzi do nieograniczonego przesyłania plików.

W wtyczce My auctions allegro w wersjach od n/a do 3.6.33 występuje podatność na atak Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten może prowadzić do nieautoryzowanego wykonania złośliwego kodu w kontekście użytkownika.

Podatność typu przepełnienie bufora w stercie w bibliotece giflib na systemie Linux, związana z plikami programu gif2rgb.C. Dotyczy wersji giflib do 5.2.2.