Katalog podatności CVE

Podatność CVE-2025-22753 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w turboSMTP. Problem ten dotyczy wersji turboSMTP od n/a do 4.6 włącznie.

Podatność CVE-2025-22752 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce GSheetConnector dla Forminator Forms. Problem ten występuje w wersjach od n/a do 1.0.12 włącznie.

Podatność CVE-2025-22751 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji farinspace Partners. Problem ten dotyczy wersji Partners od n/a do 0.2.0 włącznie.

W podatności CVE-2025-22750 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki Patel Post Carousel & Slider w wersjach od n/a do 1.0.4.

W podatności CVE-2025-22736 występuje nieprawidłowe przypisanie uprawnień w systemie zarządzania użytkownikami Saada Iqbala, co umożliwia eskalację uprawnień. Problem dotyczy wersji User Management od n/a do 1.2 włącznie.

Podatność CVE-2025-22317 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Gallery Ape Photo Gallery. Umożliwia to atak typu Cross-site Scripting (XSS) w wersjach od n/a do 2.2.8.

W podatności 'Użycie uszkodzonego lub ryzykownego algorytmu kryptograficznego' w komponencie SSL/TLS używanym w wersjach B&R Automation Runtime przed 6.1 oraz B&R mapp View przed 6.1, nieautoryzowani atakujący mogą podszywać się pod usługi na zaatakowanych urządzeniach.

W systemie CyberPower PowerPanel Business (PPB) w wersji 4.11.0 występuje podatność na atak typu denial-of-service. Nieautoryzowany zdalny atakujący może wielokrotnie restartować proces ppbd.exe za pomocą usługi Watchdog, co prowadzi do jego niedostępności.

W jądrze Linux naprawiono błąd, który powodował wyłączenie sprzętowego sumowania kontrolnego (offload) dla pakietów BIG TCP IPv6 z nagłówkami rozszerzeń. Problem dotyczył nagłówka IPV6_TLV_JUMBO, który jest używany tylko do przechwytywania ruchu (np. tcpdump) i nie jest przesyłany przez fizyczne urządzenia. Łatka przywraca obsługę offloadu dla tego konkretnego przypadku.

Wtyczka NitroPack dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'nitropack_dismiss_notice_forever' we wszystkich wersjach do 1.17.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyżej, aktualizację dowolnych opcji do stałej wartości '1'.

Wtyczka Social proof testimonials and reviews by Repuso dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'rw_image_badge1' we wszystkich wersjach do 5.20 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie współpracownika i wyżej, wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Urządzenia NEC Corporation Aterm WX1500HP w wersji 1.4.2 i wcześniejszych oraz WX3600HP w wersji 1.5.3 i wcześniejszych umożliwiają atakującemu wykonanie dowolnych poleceń systemu operacyjnego przez sieć.

W podatności CVE-2025-0355 brak jest autoryzacji dla krytycznych funkcji w urządzeniach NEC Corporation, co pozwala atakującemu na uzyskanie hasła Wi-Fi przez sieć. Dotyczy to wielu modeli routerów z określonymi wersjami oprogramowania.

W Genivia gSOAP, przy określonej konfiguracji, nieautoryzowany zdalny atakujący może wygenerować wysokie obciążenie CPU, zmuszając system do analizy XML z duplikatami atrybutów ID, co może prowadzić do ataku typu DoS.

W wersjach Linux Ratfor 1.06 i wcześniejszych występuje podatność na przepełnienie bufora na stosie. Przetwarzając specjalnie przygotowany plik przez atakującego, może zostać wykonany dowolny kod.

Podatność CVE-2025-0343 dotyczy biblioteki Swift ASN.1, która może ulegać awarii podczas analizy niektórych konstrukcji BER/DER. Awaria jest spowodowana błędnym założeniem w bibliotece, że pewne obiekty mogą być dostarczane tylko w formach skonstruowanych lub prymitywnych.

Flatnotes w wersjach poniżej 5.3.1 jest podatny na atak typu denial of service (DoS) poprzez funkcję przesyłania obrazów.

W robotach sprzątających ECOVACS Robotics Deebot T20 OMNI i T20e OMNI przed wersją oprogramowania 1.24.0 wykryto podatność umożliwiającą zdalne wykonanie kodu przez sieć WiFi. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad urządzeniem.

Podatność SSRF w Invoice Ninja umożliwia uwierzytelnionemu atakującemu odczyt dowolnych plików i wysyłanie żądań do zasobów sieciowych jako użytkownik aplikacji. Problem dotyczy wersji od 5.8.56 do 5.11.23.

Git Credential Manager (GCM) to bezpieczny pomocnik do zarządzania poświadczeniami Git, działający na systemach Windows, macOS i Linux. Protokół poświadczeń Git jest oparty na tekście i składa się z par klucz-wartość, jednak dokumentacja Git ogranicza użycie znaku NUL oraz nowych linii w kluczach lub wartościach.