Katalog podatności CVE

W podatności CVE-2025-31573 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w PeproDev CF7 Database. Problem dotyczy wersji od n/a do 2.0.0 włącznie.

Podatność CVE-2025-31536 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce CF7 Spreadsheets, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 2.3.2 włącznie.

Podatność CVE-2025-31468 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP_Identicon, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 2.0 włącznie.

W podatności CVE-2025-31467 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Flickr Photostream w wersjach od n/a do 3.1.8. Problem ten umożliwia atakującym wykonanie złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-31442 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w narzędziu podświetlania słów kluczowych wyszukiwarki e1tekoap42. Problem ten dotyczy wersji od n/a do 0.1.3 włącznie.

Podatność CVE-2025-31436 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Blubrry PowerPress Podcasting MultiSite. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 0.1.1.

Podatność w DeBounce Email Validator (wtyczka WordPress) polega na niewłaściwej kontroli nazwy pliku dla instrukcji include/require w PHP, co umożliwia lokalne dołączanie plików (PHP Local File Inclusion). Dotyczy wersji do 5.7 włącznie.

W podatności CVE-2025-30908 występuje problem Cross-Site Request Forgery (CSRF) w Shamalli Web Directory Free, który umożliwia przechowywanie ataków XSS. Problem ten dotyczy wersji Web Directory Free od n/a do 1.7.6 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce PickPlugins Testimonial Slider umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji Testimonial Slider od n/a do 2.0.13 włącznie.

W podatności CVE-2025-30858 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu Tribulant Software Snow Storm, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Snow Storm od n/a do 1.4.6 włącznie.

Podatność CVE-2025-30616 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Latest Custom Post Type Updates w wersjach od n/a do 1.3.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

W podatności CVE-2025-30611 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji wptobe-signinup. Problem ten dotyczy wersji od n/a do 1.1.2 włącznie.

W jądrze Linux w podsystemie net/atm (LAN Emulation) występuje błąd use-after-free w funkcji lec_send(). Funkcja ->send() zwalnia bufor skb, ale długość jest odczytywana po zwolnieniu, co prowadzi do użycia po zwolnieniu.

W akceleratorze QAIC (Qualcomm AI Core) w jądrze Linux wykryto błąd przepełnienia liczb całkowitych w funkcji qaic_validate_req(). Zmienne typu u64 pochodzące od użytkownika mogą spowodować zawijanie się arytmetyki, co może prowadzić do nieprawidłowego przydziału pamięci.

W jądrze Linux wykryto podatność polegającą na użyciu po zwolnieniu (UAF) w funkcji proc_get_inode(). Problem wynika z wyścigu między usunięciem modułu a tworzeniem i-węzła dla wpisu w /proc, co prowadzi do dereferencji wskaźnika do już zwolnionego modułu.

W bibliotece libsoup wykryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci sterty (heap buffer over-read) podczas analizy zawartości odpowiedzi HTTP przez funkcję skip_insight_whitespace(). Klienci korzystający z libsoup mogą odczytać jeden bajt poza buforem w odpowiedzi na spreparowaną odpowiedź HTTP serwera.

Podatność w akcji GitHub 'get-workflow-version-action' przed wersją 1.0.1 może prowadzić do ujawnienia części tokena GITHUB_TOKEN w logach GitHub Actions, jeśli krok akcji zakończy się niepowodzeniem. Token może być wyświetlany w postaci niepełnej, co stwarza ryzyko jego ujawnienia osobom z dostępem do repozytorium.

Podatność w serwerze VPN Cisco AnyConnect na urządzeniach Cisco Meraki MX i Z Series może pozwolić uwierzytelnionemu, zdalnemu atakującemu na spowodowanie stanu odmowy usługi (DoS) w usłudze Cisco AnyConnect. Wykorzystanie tej podatności wymaga posiadania ważnych poświadczeń użytkownika VPN na zaatakowanym urządzeniu.

Nieprawidłowe domyślne uprawnienia w folderze instalacyjnym AMD Ryzen(TM) AI mogą umożliwić atakującemu uzyskanie podwyższonych uprawnień, co potencjalnie prowadzi do wykonania dowolnego kodu.

Przepełnienie całkowitej liczby w sterowniku NPU firmy AMD może umożliwić lokalnemu atakującemu zapis poza dozwolonym obszarem pamięci, co może prowadzić do utraty poufności, integralności lub dostępności danych.