Katalog podatności CVE

Klient SecureDrop to aplikacja desktopowa dla dziennikarzy, która umożliwia komunikację ze źródłami i pracę z przesyłkami na stacji roboczej SecureDrop. Przed wersją 0.14.1 złośliwy serwer SecureDrop mógł uzyskać wykonanie kodu na wirtualnej maszynie klienta SecureDrop (`sd-app`).

Systemy działające na forku Instaclustr wtyczki Cassandra-Lucene-Index Stratio w wersjach od 4.0-rc1-1.0.0 do 4.0.16-1.0.0 oraz od 4.1.2-1.0.0 do 4.1.8-1.0.0, zainstalowane w Apache Cassandra w wersji 4.x, są podatne na lukę. W przypadku skutecznego wykorzystania, może to pozwolić uwierzytelnionym użytkownikom Cassandry na zdalne ominięcie RBAC i eskalację swoich uprawnień.

libsignal-service-rs to wersja biblioteki libsignal-service-java napisana w języku Rust, która implementuje podstawową funkcjonalność komunikacji z serwerami Signal. Przed poprawką 82d70f6720e762898f34ae76b0894b0297d9b2f8, możliwe było wstrzykiwanie niezaszyfrowanych zawartości przez serwer lub złośliwego klienta, co mogło prowadzić do obejścia szyfrowania end-to-end oraz uwierzytelniania.

libsignal-service-rs, będąca wersją Rust biblioteki libsignal-service-java, miała lukę, która pozwalała dowolnemu kontaktowi na fałszowanie wiadomości synchronizacyjnych, podszywając się pod inne urządzenie lokalnego użytkownika. Problem ten został naprawiony w commitcie 82d70f6720e762898f34ae76b0894b0297d9b2f8.

Odkryto podatność CWE-1392 'Użycie domyślnych poświadczeń' w bramie TCP/IP 130.8005 działającej na oprogramowaniu układowym w wersji 12h. Urządzenie udostępnia serwer FTP z domyślnymi i łatwymi do odgadnięcia poświadczeniami administratora.

Odkryto podatność CWE-126 'Buffer Over-read' w bramie TCP/IP 130.8005 działającej na oprogramowaniu układowym w wersji 12h. Umożliwia ona ujawnienie informacji poprzez wykorzystanie wycieku pamięci w serwerze WWW.

W jądrze Linux wykryto błąd wyścigu między wyrejestrowaniem urządzenia sieciowego a operacjami ethtool (np. zmiana liczby kanałów). Podczas wyrejestrowania urządzenia niszczona jest blokada (mutex), co prowadzi do ostrzeżenia DEBUG_LOCKS_WARN_ON i potencjalnego zakleszczenia. Problem został rozwiązany przez dodanie szerszego sprawdzenia, które blokuje operacje ethtool na urządzeniach będących w trakcie demontażu.

W podatności CVE-2025-26582 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Blackbam TinyMCE Advanced qTranslate fix editor problems, który umożliwia atak typu Stored XSS. Dotyczy to wersji od n/a do 1.0.0 włącznie.

W podatności CVE-2025-26580 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Complete SEO Page/Post Specific Social Share Buttons, co pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w kliencie dokumentacji Simple Documentation umożliwia przechowywanie ataków XSS. Problem ten dotyczy wersji Simple Documentation od n/a do 1.2.8 włącznie.

W podatności CVE-2025-26577 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce DX-auto-publish, który umożliwia przeprowadzenie ataku typu Stored XSS. Dotyczy to wersji DX-auto-publish od n/a do 1.2.

W podatności CVE-2025-26572 występuje problem Cross-Site Request Forgery (CSRF) w jesseheap WP PHPList phplist-form-integration, który umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji WP PHPList od n/a do 1.7 włącznie.

W podatności CVE-2025-26571 występuje problem Cross-Site Request Forgery (CSRF) w narzędziu Wibiya Toolbar, który pozwala na przeprowadzenie ataku CSRF. Dotyczy to wersji Wibiya Toolbar od n/a do 2.0 włącznie.

W podatności CVE-2025-26570 występuje luka typu Cross-Site Request Forgery (CSRF) w aplikacji Glance That, która umożliwia przeprowadzenie ataku CSRF.

Podatność typu Cross-Site Request Forgery (CSRF) w Callmeforsox Post Thumbs umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Post Thumbs od n/a do 1.5.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Easy Amazon Product Information umożliwia przeprowadzenie ataku Stored XSS. Problem dotyczy wersji wtyczki od n/a do 4.0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w filtrze RSS Shambhu Patnaika umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji RSS Filter od n/a do 1.2 włącznie.

W podatności CVE-2025-26552 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w systemie badrHan Naver Syndication V2. Problem ten dotyczy wersji od n/a do 0.8.3 włącznie.

Podatność CVE-2025-26551 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w Bootstrap collapse w wersjach od n/a do 1.0.4.

W podatności CVE-2025-26550 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Global Meta Keyword & Description, co pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.3.