Katalog podatności CVE

W podatności CVE-2025-22631 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji Marketing Automation od n/a do 1.2.6.8.

W podatności CVE-2025-27012 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce A1POST.BG Shipping for Woo, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.5 włącznie.

W podatności CVE-2025-26774 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Rock Solid Responsive Modal Builder for High Conversion – Easy Popups. Problem ten dotyczy wersji od n/a do 1.5.0 włącznie.

W podatności CVE-2025-26760 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy kalkulatora Calculator Builder w wersjach od n/a do 1.6.2.

W podatności CVE-2025-26757 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączenie plików. Problem ten dotyczy wersji FULL Customer od n/a do 3.1.26.

Podatność CVE-2025-26756 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w narzędziu Magic the Gathering Card Tooltips. Problem ten występuje w wersjach od n/a do 3.5.0 włącznie.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wysyłać nieprawidłowe polecenia do oprogramowania układowego GPU, co może spowodować zapis danych poza wirtualną pamięcią GPU gościa.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wykorzystać pamięć współdzieloną z oprogramowaniem układowym GPU do zapisywania danych w pamięci GPU innego gościa.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wykorzystać pamięć współdzieloną z oprogramowaniem układowym GPU do zapisywania danych poza wirtualną pamięcią GPU gościa.

Wtyczka YaySMTP dla WordPressa, używająca SMTP dla Amazon SES, jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w wersjach do 1.7.1 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka YaySMTP dla WordPressa, używająca SMTP Sendinblue, jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w wersjach do 1.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka YaySMTP dla WordPressa, używająca SMTP SendGrid, jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w wersjach do 1.4 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

W jądrze Linuxa zidentyfikowano podatność w module usb: cdc-acm, która polega na braku sprawdzenia rozmiaru bufora transferu kontrolnego przed dostępem. W przypadku, gdy pierwszy fragment jest krótszy niż struktura usb_cdc_notification, może dojść do uszkodzenia pamięci.

Wtyczka LTL Freight Quotes – Purolator Edition dla WordPressa jest podatna na atak typu SQL Injection poprzez parametry 'dropship_edit_id' i 'edit_id' we wszystkich wersjach do 2.2.3 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonych przez użytkownika parametrów oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Biblioteka solid-js, używana do budowania interfejsów użytkownika, ma problem z nieprawidłowym wstawianiem wyrażeń JSX w nielegalnych fragmentach JSX, co prowadzi do braku odpowiedniego zabezpieczenia przed wstrzyknięciem HTML. Problem został rozwiązany w wersji 1.9.4.

Podatność w binance-trading-bot umożliwia zdalne wykonanie kodu na systemie gospodarza z powodu wstrzyknięcia poleceń w punkcie końcowym `/restore`. Użytkownicy z autoryzacją mogą wykorzystać tę lukę, co prowadzi do nieautoryzowanego dostępu do systemu.

W systemie zarządzania zachowaniem i audytowania BDCOM do wersji 20250210 odkryto krytyczną podatność. Manipulacja argumentem start_code w funkcji log_operate_clear prowadzi do zdalnego wstrzyknięcia poleceń systemowych.

W systemie Raisecom Multi-Service Intelligent Gateway do wersji 20250208 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /vpn/vpn_template_style.php komponentu Request Parameter Handler, gdzie manipulacja argumentem stylenum prowadzi do wstrzyknięcia poleceń systemowych.

W systemie zarządzania aktywami Baiyi Cloud w wersji 8.142.100.161 odkryto krytyczną podatność. Manipulacja argumentem ticket_id w pliku /wuser/admin.ticket.close.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Aplikacja My Security Account od Rapid Response Monitoring wykorzystuje API, które może być wykorzystane przez atakującego do modyfikacji danych żądania, co może prowadzić do ujawnienia informacji o innych użytkownikach.