Katalog podatności CVE

W podatności CVE-2025-22682 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji Hesabfa Accounting, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji aplikacji od n/a do 2.1.2 włącznie.

Podatność CVE-2025-22679 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w PickPlugins Job Board Manager, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Job Board Manager od n/a do 2.1.61 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w NotFound Admin i Site Enhancements (ASE) Pro umożliwia eskalację uprawnień. Problem ten dotyczy wersji ASE Pro od n/a do 7.6.2.1.

Wtyczka Jupiter X Core dla WordPressa jest podatna na lokalne włączenie pliku prowadzące do zdalnego wykonania kodu we wszystkich wersjach do 4.8.7 włącznie, poprzez funkcję get_svg(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie co najmniej Contributor włączenie i wykonanie dowolnych plików na serwerze.

W komponentach XML Text Escaping w Qualisys C++ SDK występuje przepełnienie bufora na stercie, które może być wykorzystane przez atakujących do wywołania odmowy usługi (DoS) poprzez eskapowanie specjalnych znaków XML.

W jądrze Linux w sterowniku bnxt_en wykryto podatność polegającą na braku ponownego przeliczenia funkcji sieciowych po wyłączeniu XDP. Prowadzi to do sytuacji, w której sprzętowe GRO (HW-GRO) nie jest automatycznie włączane, a podczas późniejszej rekonfiguracji może dojść do dereferencji pustego wskaźnika (NULL pointer dereference) i awarii systemu.

W jądrze Linuxa wykryto podatność w sterowniku GTP, która powoduje, że urządzenie sieciowe gtp pozostaje aktywne po usunięciu przestrzeni nazw sieciowych (netns), w której utworzono gniazdo UDP. Prowadzi to do ostrzeżenia ref_tracker i potencjalnego wycieku referencji.

W jądrze Linux stwierdzono podatność w sterowniku PFCP, gdzie urządzenie sieciowe (np. pfcp0) było powiązane z przestrzenią nazw sieciowych (netns) urządzenia, a nie z przestrzenią nazw gniazda UDP. Prowadziło to do wycieku referencji i ostrzeżenia (splat) podczas usuwania przestrzeni nazw, w której utworzono gniazdo UDP.

W sterowniku FEC (Fast Ethernet Controller) jądra Linuxa wykryto podatność polegającą na braku obsługi błędu alokacji pamięci przez funkcję page_pool_dev_alloc_pages. Gdy alokacja się nie powiedzie, sterownik używa wskaźnika NULL, co prowadzi do awarii systemu (crash). Problem występuje głównie przy dużym obciążeniu pamięci, np. podczas zapisu przez SMB na dysk SATA podłączony do i.MX6Q.

W jądrze Linux w mechanizmie vsock/virtio nie odrzucano pakietów po zmianie transportu. Może to prowadzić do dostępu do NULL wskaźnika vsk->transport, gdy gniazdo zostanie przypisane do innego transportu lub odłączone.

Podatność typu Cross-Site Request Forgery (CSRF) w Overt Software Solutions LTD EZPZ SAML SP Single Sign On (SSO) umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji EZPZ SAML SP Single Sign On (SSO) od n/a do 1.2.5.

Podatność CVE-2025-24718 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Sessions Time Monitoring Full Automatic w wersjach od n/a do 1.1.1.

Podatność CVE-2025-24710 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Gwolle Guestbook, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Gwolle Guestbook od n/a do 4.7.1 włącznie.

Podatność CVE-2025-24686 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w narzędziu Metagauss RegistrationMagic. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 6.0.3.3.

Podatność CVE-2025-24635 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Paytm Payment Donation w wersjach od n/a do 2.3.1. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-24632 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Advanced Dynamic Pricing for WooCommerce, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 4.9.0 włącznie.

W podatności CVE-2025-24609 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS) w wtyczce PORTONE dla WooCommerce. Problem dotyczy wersji PORTONE od n/a do 3.2.4 włącznie.

Podatność CVE-2025-24608 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w GD Mail Queue w wersjach od n/a do 4.3. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-24563 dotyczy wtyczki Cleanup – Directory Listing & Classifieds dla WordPressa, która pozwala na wystąpienie ataku typu Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 1.0.4 włącznie.

Podatność CVE-2025-24560 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Awesome Event Booking, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 2.7.1 włącznie.