Katalog podatności CVE

Router Edimax AC1200 Wi-Fi 5 Dual-Band BR-6476AC w wersji 1.06 zawiera podatność na przepełnienie bufora w funkcji /goform/getWifiBasic. Atakujący może wykorzystać ten błąd do zdalnego wykonania kodu lub spowodowania awarii urządzenia.

Router Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC w wersji 1.06 zawiera podatność na wstrzykiwanie komend w pliku /bin/goahead. Luki występują w funkcjach /goform/tracerouteDiagnosis, /goform/pingDiagnosis oraz /goform/fromSysToolPingCmd, umożliwiając atakującemu z dostępem do interfejsu WWW wykonanie dowolnych komend systemowych z uprawnieniami root.

W routerze Edimax AC1200 Wi-Fi 5 Dual-Band Router BR-6476AC w wersji 1.06, żądanie /goform/fromSetDDNS nieprawidłowo obsługuje znaki specjalne w parametrach podawanych przez użytkownika, co umożliwia atakującemu z dostępem do interfejsu WWW wstrzyknięcie i wykonanie dowolnych poleceń powłoki.

Router Edimax AC1200 Wi-Fi 5 Dual-Band BR-6476AC w wersji 1.06 zawiera podatność na przepełnienie bufora przez endpoint /goform/fromSetLanDhcpsClientbinding.

W podatności CVE-2025-24734 występuje brak autoryzacji w wtyczce Better Find and Replace, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 1.6.7 włącznie.

Podatność CVE-2025-24708 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczkach CRM Perks WP Dynamics CRM dla Contact Form 7, WPForms, Elementor, Formidable i Ninja Forms. Problem ten dotyczy wersji od n/a do 1.1.6 włącznie.

Podatność CVE-2025-24680 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w stronie internetowej, co prowadzi do podatności na XSS odzwierciedlone. Problem ten dotyczy wtyczki WP Multistore Locator w wersjach od n/a do 2.4.7.

W podatności CVE-2025-24626 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Music Store. Problem ten dotyczy wersji od n/a do 1.1.19 włącznie.

W podatności CVE-2025-24593 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Edwiser Bridge, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Edwiser Bridge od n/a do 3.0.8 włącznie.

W podatności CVE-2025-23982 występuje brak autoryzacji w kalkulatorze opłat Gopi Krishnan, co pozwala na przechowywanie ataków XSS. Problem dotyczy wersji kalkulatora opłat od n/a do 1.1 włącznie.

W podatności CVE-2025-23756 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie LawPress – zarządzanie stronami internetowymi kancelarii prawnych. Problem ten dotyczy wersji LawPress od n/a do 1.4.5 włącznie.

Podatność CVE-2025-23754 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji The Loops, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji aplikacji od n/a do 1.0.2 włącznie.

Podatność typu Cross-site Scripting (XSS) w aplikacji Clifton Griffin CGD Arrange Terms pozwala na odzwierciedlone XSS. Problem dotyczy wersji CGD Arrange Terms od n/a do 1.1.3 włącznie.

Podatność CVE-2025-23574 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CubePM, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji CubePM od n/a do 1.0 włącznie.

Podatność CVE-2025-23531 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce RSVPMaker Volunteer Roles. Problem ten dotyczy wersji od n/a do 1.5.1 włącznie.

Podatność typu Path Traversal w Morkva UA Shipping pozwala na lokalne dołączenie plików PHP. Problem ten dotyczy wersji od n/a do 1.0.18 włącznie.

Podatność CVE-2025-23792 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Busters Passwordless WP. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.6.

Podatność CVE-2025-23457 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Shipdeo dla WooCommerce, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Shipdeo od n/a do 1.2.8 włącznie.

Podatność CVE-2025-22513 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Simple Locator, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji od n/a do 2.0.4 włącznie.

W portalu Red Hat Advanced Cluster Security (RHACS) znaleziono lukę, która pozwala na generowanie elementu tabeli DOM z niezabezpieczonymi danymi. Atakujący mogą wykorzystać tę lukę do wywołania podatności typu cross-site scripting (XSS).