Katalog podatności CVE

W jądrze Linuxa na architekturze arm64 w funkcji __change_memory_common nie propaguje wartości zwracanej. Błędy w set_memory_ro/set_memory_rox są tłumione, co może prowadzić do nieprawidłowego stanu zabezpieczeń rodata=on.

W jądrze systemu Linux naprawiono podatność związaną z obsługą odłączonych katalogów. Problem polegał na tym, że prawa dostępu do plików lub katalogów otwartych przez odłączony katalog były zbierane bez uwzględnienia punktu montowania, co mogło prowadzić do niespójnych wyników dostępu.

W jądrze Linux w sterowniku drm/panthor wykryto podatność na use-after-free w funkcji GROUP_CREATE. Złośliwy użytkownik może wywołać GROUP_DESTROY z innego wątku przed zakończeniem GROUP_CREATE, prowadząc do użycia zwolnionej pamięci.

W podatności CVE-2025-68608 występuje brak autoryzacji w wtyczce Userpro od DeluxeThemes, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Userpro od n/a do 5.1.9.

Podatność ujawnienia wrażliwych informacji systemowych nieautoryzowanej sferze kontroli w wtyczce WPXPO PostX (ultimate-post) umożliwia pobieranie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 5.0.3.

Wtyczka Post Grid and Gutenberg Blocks do wersji 2.3.23 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.

Wtyczka Editorial Calendar do wersji 3.8.8 zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress 'Accept Donations with PayPal & Stripe' do wersji 1.5.2 zawiera podatność na otwarte przekierowanie (Open Redirect), które może być wykorzystane do phishingu.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce WordPress Five Star Restaurant Reservations (restaurant-reservations). Problem dotyczy wersji od n/a do 2.7.8 włącznie.

Wtyczka WordPress Link Library (link-library) autorstwa Yannick Lefebvre zawiera podatność Server-Side Request Forgery (SSRF). Problem występuje w wersjach od n/a do 7.8.7 włącznie. Podatność może pozwolić atakującemu na wymuszenie żądań z serwera do dowolnych zasobów.

Wtyczka YouTube Embed do wersji 5.4 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.

W wtyczce Page Builder: Live Composer (live-composer-page-builder) występuje podatność typu Stored XSS wynikająca z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 2.1.22.

Wtyczka Jobs for WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 2.8.1 włącznie.

Wtyczka Bit Assist (wersje do 1.5.11 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.5.11.

Wtyczka Widgets for Social Photo Feed (wersje do 1.8 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.8.

Wtyczka Poll, Survey & Quiz Maker Plugin by Opinion Stage (social-polls-by-opinionstage) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do <= 19.12.0.

Brak autoryzacji w WP Adminify (do wersji 4.0.6.1) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji w wtyczce WP Adminify (adminify) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.6.1.

Brak autoryzacji w Simple File List (do wersji 6.1.18) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W podatności CVE-2025-68590 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w integracji CRM Perks dla wtyczki Contact Form 7 HubSpot. Problem dotyczy wersji od n/a do 1.4.2 włącznie.