Katalog podatności CVE

Podatność CVE-2025-22707 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w motywie ThemeMove Moody w wersjach od n/a do 2.7.3.

W podatności CVE-2025-22509 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne dołączanie plików. Problem ten dotyczy wersji Atlas od n/a do 2.1.0.

Podczas transferów SSH z użyciem SCP lub SFTP, gdy wymagane jest uwierzytelnianie kluczem publicznym, curl błędnie pyta i uwierzytelnia się przy użyciu lokalnie działającego agenta SSH.

Podczas transferów SSH (SCP lub SFTP) z ustawionym plikiem known_hosts, libcurl mógł błędnie zaakceptować połączenia z hostami *nieobecnymi* w określonym pliku, jeśli były one rozpoznane w globalnym pliku known_hosts biblioteki libssh.

Wtyczka Gutenverse Form do WordPressa (wersje do 2.3.2 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez przesyłanie plików SVG. Komponent frameworka wtyczki dodaje SVG do dozwolonych typów MIME bez sanityzacji zawartości, co pozwala uwierzytelnionym atakującym z rolą Author i wyższą na przesłanie złośliwego pliku SVG.

Podczas transferów TLS z ponownie używanymi uchwytami easy lub multi oraz zmianą opcji CURLSSLOPT_NO_PARTIALCHAIN, libcurl mógł przypadkowo użyć zapisanego w pamięci magazynu certyfikatów CA, dla którego opcja partial chain była odwrócona. Wbrew oczekiwaniom użytkownika, libcurl mógł znaleźć i zaakceptować łańcuch zaufania, którego w przeciwnym razie by nie zaakceptował.

Gdy token OAuth2 bearer jest używany do transferu HTTP(S) i transfer ten wykonuje przekierowanie między protokołami do drugiego URL używającego schematu IMAP, LDAP, POP3 lub SMTP, curl może błędnie przekazać token bearer do nowego hosta docelowego.

W podatności CVE-2025-14431 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji Navian od n/a do 1.5.4 włącznie.

W podatności CVE-2025-14430 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeMove Brook. Problem dotyczy wersji Brook od n/a do 2.9.0.

W podatności CVE-2025-14429 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie AeroLand w wersjach od n/a do 1.6.6. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W Kaira Blockons występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji Blockons od n/a do 1.2.19 włącznie.

Podatność CVE-2025-14359 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików w Oshine. Problem ten występuje w wersjach Oshine przed 7.3.0.

W frameworku REHub występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji frameworka od n/a do 19.9.5 włącznie.

Podczas wielowątkowych transferów LDAPS (LDAP przez TLS) z libcurl zmiana opcji TLS w jednym wątku nieumyślnie zmieniała je globalnie, co mogło wpływać na inne równocześnie konfigurowane transfery. Wyłączenie weryfikacji certyfikatu dla konkretnego transferu mogło przypadkowo wyłączyć tę funkcję również dla innych wątków.

Podatność CVE-2025-13504 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce e-plugins Real Estate Pro, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Real Estate Pro od n/a do 2.1.4 włącznie.

Przy użyciu opcji CURLOPT_PINNEDPUBLICKEY w libcurl lub --pinnedpubkey w narzędziu curl, curl powinien sprawdzać klucz publiczny certyfikatu serwera. Sprawdzenie to było pomijane w pewnym warunku, co pozwalało na nawiązanie połączenia bez weryfikacji i niezauważenie potencjalnego oszusta. Warunkiem było połączenie przez QUIC z ngtcp2 zbudowanym z GnuTLS oraz jawne wyłączenie standardowej weryfikacji certyfikatu.

Podatność CVE-2025-12551 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w e-plugins ListingHub, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji ListingHub od n/a do 1.2.6.

W podatności CVE-2025-12550 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne włączenie pliku PHP. Problem dotyczy wersji OchaHouse od n/a do 2.2.8.

W podatności CVE-2025-12549 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w aplikacji Rozy - Flower Shop w wersjach do 1.2.25.

W systemie zarządzania członkostwem Intern Membership Management System 1.0 zidentyfikowano podatność. Manipulacja argumentem 'Username' w pliku /intern/admin/check_admin.php może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.