Katalog podatności CVE

Zgłoszono podatność typu injection poleceń w dodatku Media Streaming. Atakujący, który uzyska dostęp do lokalnej sieci oraz konto użytkownika, może wykorzystać tę podatność do wykonania dowolnych poleceń.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.4 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wyczerpanie pamięci lub CPU, omijając limity walidacji JSON.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 13.9 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł dodać nieautoryzowane adresy e-mail do kont ofiar poprzez wstrzyknięcie HTML w tytułach przypadków testowych.

GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 10.8 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, nieautoryzowany użytkownik mógł spowodować odmowę usługi, wysyłając powtarzające się zapytania GraphQL.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.2 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na kradzież tokenów i dostęp do prywatnych repozytoriów poprzez niewłaściwą walidację w Web IDE.

GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 17.1 przed 18.6.6, 18.7 przed 18.7.4 oraz 18.8 przed 18.8.4. W określonych warunkach, uwierzytelniony użytkownik mógł wykonać nieautoryzowane działania w imieniu innego użytkownika, wprowadzając złośliwą treść do przepływu kodu podatności.

Podatność CVE-2025-10174 dotyczy oprogramowania PanCafe Pro, które umożliwia przesyłanie wrażliwych informacji w postaci niezaszyfrowanej. Problem ten występuje w wersjach od < 3.3.2 do 23092025.

Wtyczka 'Videospirecore Theme Plugin' dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.0.6 włącznie. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed aktualizacją jego danych, takich jak adres e-mail.

Wtyczka Custom Block Builder – Lazy Blocks dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 4.2.0, poprzez wiele funkcji w klasie 'LazyBlocks_Blocks'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wykonanie kodu na serwerze.

Podatność CVE-2025-9986 w systemie DIGIKENT firmy Vadi Corporate Information Systems Ltd. Co. umożliwia nieautoryzowany dostęp do wrażliwych informacji systemowych. Problem ten dotyczy systemu do 30 września 2025 roku.

Wtyczka iONE360 configurator dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry formularza kontaktowego we wszystkich wersjach do i włącznie z 2.0.57 z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Podatność CVE-2025-13651 w Microcom ZeusWeb umożliwia nieautoryzowanym osobom dostęp do wrażliwych informacji systemowych poprzez fingerprinting aplikacji webowej. Problem dotyczy wersji ZeusWeb: 6.1.31.

Podatność CVE-2025-10913 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie TemizlikYolda firmy Saastech Cleaning and Internet Services Inc., co pozwala na ataki typu Cross-Site Scripting (XSS). Problem ten dotyczy wersji TemizlikYolda do 11022026.

Podatność CVE-2025-10912 dotyczy oprogramowania TemizlikYolda firmy Saastech Cleaning and Internet Services Inc. i polega na obejściu autoryzacji poprzez manipulację zmiennymi kontrolowanymi przez użytkownika.

Wtyczka WPvivid Backup & Migration dla WordPressa jest podatna na nieautoryzowane przesyłanie dowolnych plików w wersjach do 0.9.123 włącznie. Problem wynika z niewłaściwego zarządzania błędami w procesie deszyfrowania RSA oraz braku sanitizacji ścieżek przy zapisywaniu przesyłanych plików.

Wtyczka Lucky Wheel Giveaway dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do i włącznie z 1.0.22 poprzez parametr conditional_tags. Problem wynika z użycia funkcji eval() w PHP na danych kontrolowanych przez użytkownika bez odpowiedniej walidacji lub sanitizacji.

DoraCMS w wersji 3.1 i wcześniejszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji zdalnego pobierania obrazów UEditor. Aplikacja akceptuje adresy URL podane przez użytkownika i wykonuje żądania HTTP lub HTTPS bez odpowiedniej walidacji lub ograniczeń docelowych. Implementacja nie egzekwuje list dozwolonych adresów, nie blokuje wewnętrznych ani prywatnych zakresów IP oraz nie stosuje limitów czasu odpowiedzi ani rozmiaru odpowiedzi.

Biblioteka cryptography dla Pythona przed wersją 46.0.5 nie weryfikuje, czy punkt klucza publicznego należy do oczekiwanej podgrupy krzywej. Brak walidacji umożliwia atakującemu dostarczenie punktu z małej podgrupy, co prowadzi do wycieku informacji o kluczu prywatnym w ECDH i umożliwia fałszowanie podpisów ECDSA. Podatność dotyczy krzywych SECT.

Zagrożone produkty są podatne na nieobsłużony wyjątek, który może pozwolić nieautoryzowanemu atakującemu na zdalne zablokowanie usług rdzenia PI, co prowadzi do odmowy usługi.

Wersje Lightroom Desktop 15.1 i wcześniejsze są podatne na lukę typu out-of-bounds write, która może prowadzić do wykonania dowolnego kodu w kontekście aktualnego użytkownika. Wykorzystanie tej luki wymaga interakcji użytkownika, ponieważ ofiara musi otworzyć złośliwy plik.