Katalog podatności CVE

W podatności CVE-2025-23535 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce REAL WordPress Sidebar w wersjach od n/a do 0.1. Problem ten umożliwia przechowywanie złośliwego skryptu w sidebarze.

W podatności CVE-2025-23512 występuje brak autoryzacji w zespole 118GROUP Agent, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.6.0 włącznie.

Podatność CVE-2025-23509 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie HyperComments, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji HyperComments od n/a do 0.9.6 włącznie.

W podatności CVE-2025-23507 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Blrt WP Embed, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Blrt WP Embed od n/a do 1.6.9 włącznie.

Podatność CVE-2025-23506 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP IMAP Auth, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 4.0.1 włącznie.

Podatność CVE-2025-23503 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Customizable Captcha i formularzu Kontakt. Problem ten dotyczy wersji od n/a do 1.0.2.

W podatności CVE-2025-23500 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Simple Custom post type custom field simple-content-construction-kit w wersjach od n/a do 1.0.3.

Podatność CVE-2025-23498 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Translation.Pro w wersjach od n/a do 1.0.0. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-23495 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WooCommerce Order Search, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji wtyczki od n/a do 1.1.0 włącznie.

Podatność CVE-2025-23475 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji fireantology History timeline. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 0.7.2 włącznie.

W podatności CVE-2025-23462 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce FWD Slider, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji FWD Slider od n/a do 1.0 włącznie.

Podatność CVE-2025-23449 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple shortcode buttons. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.3.2.

Podatność CVE-2025-22772 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Mapbox for WP Advanced w wersjach od n/a do 1.0.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

NextEPC MME w wersji 1.0.1 i wcześniejszych zawiera podatność przepełnienia bufora na stosie w metodzie dekodowania listy numerów alarmowych. Atakujący może wysłać wiadomość NAS z nadmiernie długą wartością listy numerów alarmowych, co prowadzi do nadpisania stosu dowolnymi bajtami.

W oprogramowaniu układowym UD-LT2 w wersji 1.00.008_SE i wcześniejszych występuje problem z włączeniem niedokumentowanych funkcji. Zdalny atakujący może wyłączyć funkcję zapory sieciowej po stronie LAN oraz otworzyć określone porty.

W firmware UD-LT2 w wersji 1.00.008_SE i wcześniejszych występuje problem z niewłaściwym neutralizowaniem specjalnych elementów używanych w poleceniach systemowych, co prowadzi do podatności na atak typu 'OS Command Injection'. Atakujący, logując się na konto administracyjne, może manipulować żądaniami dla określonej operacji ekranowej, co pozwala na wykonanie dowolnego polecenia systemowego.

Podatność w `podman build` i `buildah` umożliwia ucieczkę z kontenera przez wykorzystanie wyścigu z flagą --jobs=2 podczas budowania złośliwego Containerfile. Nawet przy włączonym SELinux możliwe jest wyliczanie plików i katalogów na hoście.

Podatność CVE-2025-23083 pozwala na przechwycenie zdarzeń związanych z tworzeniem wątków roboczych w Node.js, co może prowadzić do wykorzystania wewnętrznych wątków w sposób złośliwy. Dotyczy to użytkowników modelu uprawnień w wersjach Node.js v20, v22 i v23.

W funkcji decode_access_point_name_ie w Magma w wersjach do 1.8.0 (naprawione w wersji 1.9) występuje osiągalne założenie, które pozwala atakującym na wywołanie ataku typu Denial of Service (DoS) za pomocą spreparowanego pakietu NAS.

W metodzie setActualDefaultRingtoneUri w RingtoneManager.java istnieje możliwość ominięcia uprawnień do odczytu dostawców treści z powodu braku sprawdzenia uprawnień. Może to prowadzić do lokalnej eskalacji uprawnień bez potrzeby dodatkowych uprawnień wykonawczych.