Katalog podatności CVE

W module AI (Artificial Intelligence) dla Drupala wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka pozwala atakującemu na wykonanie dowolnych poleceń na serwerze poprzez nieprawidłowe neutralizowanie specjalnych elementów.

Jooby to framework webowy dla Javy i Kotlina. Moduł pac4j io.jooby.internal.pac4j.SessionStoreImpl#get deserializuje nieufne dane, co stanowi podatność.

W systemie Digital China DCME-520 do wersji 20250320 odkryto krytyczną podatność, która dotyczy nieznanego przetwarzania pliku /usr/local/WWW/function/audit/newstatistics/mon_merge_stat_hist.php. Manipulacja argumentem type_name prowadzi do wstrzyknięcia poleceń systemowych.

W podatności CVE-2025-31625 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Useinfluence w wersjach od n/a do 1.0.8.

Podatność typu Cross-Site Request Forgery (CSRF) w edytorze Rich Text Editor umożliwia przechowywanie ataków XSS. Problem dotyczy wersji edytora od n/a do 1.0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w integratorze e-mail PostmarkApp autorstwa Gagana Deepa Singha umożliwia przeprowadzenie ataku CSRF. Problem dotyczy wersji integratora od n/a do 2.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Varnish WordPress (wersje od n/a do 1.7) umożliwia atakującym przeprowadzanie nieautoryzowanych żądań w imieniu zalogowanych użytkowników.

Podatność CVE-2025-31615 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Contact Forms, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.4 włącznie.

W podatności CVE-2025-31613 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce AB Google Map Travel, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji wtyczki od n/a do 4.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Leadfox dla WordPressa umożliwia atak CSRF. Problem ten dotyczy wersji Leadfox dla WordPressa od n/a do 2.1.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Copy Media URL autorstwa Ashisha Ajani umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.

Podatność CSRF w wtyczce wp-buy Related Posts Widget with Thumbnails umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.2 włącznie.

Wtyczka wp-buy do WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.0.0.1.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Rio Video Gallery umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Rio Video Gallery od n/a do 2.3.6 włącznie.

Wtyczka Uptime Robot dla WordPressa zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.3.

W podatności CVE-2025-31542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce My auctions allegro w wersjach od n/a do 3.6.20.

W podatności CVE-2025-31526 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze portfela Behance. Problem dotyczy wersji menedżera portfela Behance od n/a do 1.7.5 włącznie.

W usłudze OpenShift Lightspeed znaleziono lukę, która jest podatna na zalewanie nieautoryzowanymi żądaniami API. Powtarzające się zapytania do nieistniejących punktów końcowych powodują nadmierne zużycie zasobów, co może prowadzić do degradacji systemu monitorowania oraz potencjalnej niedostępności usługi.

Podatność CVE-2025-23995 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Tantyyellow, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.0.0.5.

W podatności CVE-2025-31387 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji InstaWP Connect od n/a do 0.1.0.82.