Katalog podatności CVE

W podatności CVE-2025-30774 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Ays Pro Quiz Maker. Problem dotyczy wersji Quiz Maker od n/a do 6.6.8.7.

Podatność CVE-2025-30614 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w Google Font Fix w wersjach od n/a do 2.3.1.

Podatność CVE-2025-30607 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Quick Localization w wersjach od n/a do 0.1.0. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript do stron internetowych.

W podatności CVE-2025-30589 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w slajdach zestawów Flickr. Problem dotyczy slajdów zestawów Flickr w wersjach od n/a do 0.9 włącznie.

W podatności CVE-2025-30579 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bramce płatności Pesapal dla WooCommerce. Problem ten dotyczy wersji od n/a do 2.1.0 włącznie.

Podatność CVE-2025-30563 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Tidekey, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Tidekey od n/a do 1.1 włącznie.

Podatność CVE-2025-30559 dotyczy wtyczki Kento WordPress Stats, która pozwala na wystąpienie ataku typu Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

Podatność CVE-2025-30548 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Advanced Post Search, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.1.0 włącznie.

Podatność CVE-2025-30547 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Cards w wersjach od n/a do 1.5.1. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

Podatność CVE-2025-30544 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w grupie OK Poster. Problem ten dotyczy wersji od n/a do 1.1 włącznie.

W podatności CVE-2025-30520 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w crosstec Breezing Forms. Problem dotyczy wersji Breezing Forms od n/a do 1.2.8.11.

Podatność CVE-2025-22277 dotyczy aplikacji Vitepos lite, która pozwala na obejście uwierzytelniania za pomocą alternatywnej ścieżki lub kanału. Problem ten występuje w wersjach od n/a do 3.1.4 włącznie.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 6.3.1 poprzez katalog 'awesome-support'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych przechowywanych w niebezpieczny sposób w katalogu /wp-content/uploads/awesome-support, który może zawierać załączniki plików do zgłoszeń wsparcia.

Wtyczka Import Export Suite dla danych CSV i XML w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji import_single_post_as_csv() we wszystkich wersjach do 7.19 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Import Export Suite dla danych CSV i XML w WordPressie jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji deleteImage() w wersjach do 7.19 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, usuwanie dowolnych plików na serwerze.

Podniesienie uprawnień lokalnych przez niebezpieczną konfigurację DCOM w Valmet DNA w wersjach przed C2023. Obiekt DCOM Valmet DNA Engineering ma uprawnienia pozwalające na uruchamianie poleceń jako użytkownik z uprawnieniem SeImpersonatePrivilege, co umożliwia atakującemu eskalację uprawnień i przejęcie pełnej kontroli nad systemem.

W systemach macOS zidentyfikowano warunkową podatność, która pozwala aplikacjom na ominięcie preferencji prywatności. Problem został rozwiązany poprzez dodatkową walidację w wersjach macOS Sequoia 15.4, Sonoma 14.7.5 oraz Ventura 13.7.5.

Problem dotyczy nieautoryzowanego dostępu aplikacji do lokalnej sieci. Został rozwiązany poprzez poprawę sprawdzania uprawnień w Safari 18.4, iOS 18.4, iPadOS 18.4, macOS Sequoia 15.4 oraz visionOS 2.4.

Problem z walidacją został rozwiązany dzięki poprawionej logice. Podatność ta została naprawiona w iOS 18.4, iPadOS 18.4, iPadOS 17.7.6, macOS Sequoia 15.4, macOS Sonoma 14.7.5, macOS Ventura 13.7.5, tvOS 18.4, visionOS 2.4 oraz watchOS 11.4.

Wykryto problem z zapisem poza dozwolonym zakresem, który został rozwiązany poprzez poprawę sprawdzania granic. Problem ten został naprawiony w macOS Sequoia 15.4, macOS Sonoma 14.7.5 oraz macOS Ventura 13.7.5.