Katalog podatności CVE

Podatność CVE-2025-22710 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Smart Manager dla WordPressa. Problem ten dotyczy wersji Smart Manager od n/a do 8.52.0.

W podatności CVE-2025-22709 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w oprogramowaniu Verge3D od Soft8Soft LLC. Problem dotyczy wersji od n/a do 4.8.0 włącznie.

Podatność CVE-2025-22706 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Social Pug: Author Box, co umożliwia ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.0.0.

W podatności CVE-2025-22322 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce DeluxeThemes Private Messages dla UserPro. Problem ten dotyczy wersji Private Messages for UserPro od n/a do 4.10.0 włącznie.

Wtyczka Standard Box Sizes – for WooCommerce zawiera lukę w autoryzacji, która może być wykorzystana przez nieautoryzowanych użytkowników. Problem dotyczy wersji od n/a do 1.6.13.

W podatności CVE-2025-22311 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Dotyczy to wtyczki Private Messages for UserPro w wersjach od n/a do 4.10.0.

W podatności CVE-2024-49700 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w ARPrice, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji ARPrice od n/a do 4.1.3 włącznie.

Podatność na deserializację niezaufanych danych w ARPrice umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji ARPrice od n/a do 4.1.3 włącznie.

Podatność CVE-2024-49666 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w ARPrice w wersjach od n/a do 4.1.3.

Wtyczka Hero Mega Menu - Responsive WordPress Menu zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem dotyczy wersji od n/a do 1.16.5.

Podatność CVE-2024-49303 dotyczy wtyczki Hero Mega Menu - Responsive WordPress Menu i polega na niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection. Problem ten występuje w wersjach od n/a do 1.16.5.

Podatność CVE-2024-49300 dotyczy wtyczki Hero Mega Menu - Responsive WordPress Menu i polega na niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.16.5.

W jądrze Linux w module dm-thin wykryto podatność polegającą na błędzie w funkcji get_first_thin, która używała niebezpiecznej sekwencji list_empty() + list_first() w kodzie chronionym RCU. Może to prowadzić do wyścigu, w którym jeden wątek usuwa wpis z listy, podczas gdy inny go odczytuje, powodując dereferencję wskaźnika do struktury puli i awarię systemu.

W jądrze Linux w module gpio-virtuser wykryto podatność polegającą na braku czyszczenia tablicy lookup (lookup table) po nieudanej próbie urządzenia wirtualnego GPIO. Prowadzi to do niemożności ponownej próby uruchomienia urządzenia oraz do wycieku pamięci.

W jądrze Linux w module netdev wykryto podatność polegającą na tym, że identyfikatory NAPI (NAPI IDs) nie były w pełni izolowane między przestrzeniami nazw sieciowych (netns). Interfejs netlink musi zapewnić, że instancja NAPI należy do tej samej przestrzeni nazw co właściciel gniazda genl.

W jądrze Linuxa naprawiono podatność związaną z obliczaniem adresu vmemmap w modelu sparse vmemmap. Problem polegał na tym, że przy inicjalizacji struktur stron, obliczany adres wirtualny mógł znajdować się poniżej VMEMMAP_START, co prowadziło do błędów w zarządzaniu pamięcią.

WriteFreely w wersji do 0.15.1, gdy używa MySQL, pozwala lokalnym użytkownikom na odkrycie poświadczeń poprzez odczytanie pliku config.ini.

W jądrze Linux w podsystemie io_uring/eventfd wykryto podatność polegającą na tym, że funkcja io_eventfd_do_signal() wywoływana z callbacku RCU może bezpośrednio zwolnić strukturę io_ev_fd, zamiast odłożyć to na kolejny okres RCU. Może to prowadzić do użycia po zwolnieniu (use-after-free) lub innych błędów pamięci.

Nieprawidłowe ustawienia uprawnień w aplikacjach mobilnych (com.transsion.carlcare) mogą prowadzić do ryzyka wycieku informacji.

W module Shiprocket 3/4 dla OpenCart odkryto krytyczną podatność. Dotyczy ona nieznanej funkcjonalności pliku /index.php?route=extension/shiprocket/module/restapi w module REST API, gdzie manipulacja argumentem x-username prowadzi do wstrzyknięcia SQL.