Katalog podatności CVE

W podatności CVE-2025-48098 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w aplikacji Ays Pro Survey Maker. Problem dotyczy wersji Survey Maker od n/a do 5.1.8.8 włącznie.

Podatność CVE-2025-48097 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji WSAnalytics w wersjach od n/a do 1.1.2. Problem ten umożliwia ataki refleksyjne XSS.

Wtyczka Custom CSS dla WordPressa do wersji 1.4.0 włącznie ma brak mechanizmu autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Survey Maker (wersje do 5.1.8.8 włącznie) zawiera lukę przechowywanego cross-site scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwe skrypty mogą być zapisane i wykonane u użytkowników.

Podatność CVE-2025-48093 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w module logowania hasłem Calvaweb. Problem ten występuje w wersji od n/a do 0.2 włącznie.

Podatność CVE-2025-48092 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Fix Multiple Redirects w wersjach od n/a do 1.2.3.

W podatności CVE-2025-48091 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji AnyComment w wersjach od n/a do 0.3.6. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.

Podatność CVE-2025-48082 w Progress Planner dotyczy nieprawidłowego przypisania uprawnień, co umożliwia eskalację uprawnień. Problem ten występuje w wersjach od n/a do 1.8.0 włącznie.

W podatności CVE-2025-39534 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy aplikacji Terms Dictionary w wersjach od n/a do 1.5.1.

W podatności CVE-2025-32657 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RadiusTheme Testimonial Slider And Showcase Pro w wersjach od n/a do 2.1.7. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność na deserializację niezaufanych danych w Solar Energy od designthemes umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Solar Energy od n/a do 3.5 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Insurance designthemes pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki Insurance od n/a do 3.5 włącznie.

W podatności CVE-2025-30944 w Essekia Tablesome Table Premium występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie zabezpieczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji Tablesome Table Premium od n/a do 1.1.23 włącznie.

W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] oraz [5.0.0, 5.0.4], gdy włączone jest wyświetlanie listy katalogów, nazwy plików i katalogów są wstawiane do generowanego HTML bez odpowiedniego escapowania w atrybutach href, title i link. Atakujący mogący tworzyć lub zmieniać nazwy plików w udostępnianym katalogu może wywołać przechowywany XSS.

W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] i [5.0.0, 5.0.4], konfiguracja StaticHandler mająca ograniczać dostęp do ukrytych plików nie ogranicza dostępu do ukrytych katalogów, co pozwala nieautoryzowanym użytkownikom na pobieranie plików z tych katalogów (np. '.git/config').

Podatność w LibreChat w wersji 0.7.9 umożliwia wstrzyknięcie HTML przez nagłówek Accept-Language. Zalogowany użytkownik może wysłać spreparowane żądanie GET, co prowadzi do wstrzyknięcia dowolnego HTML do znacznika <html lang=""> w odpowiedzi, co może prowadzić do ataków XSS.

Seffaflik w wersji do 0.0.9 jest podatny na ataki symlinkowe z powodu niewłaściwych domyślnych uprawnień nadawanych plikom .kimlik i .seffaflik, które są tworzone z trybem 0777 i 0775. To naraża sekrety na dostęp innych lokalnych użytkowników.

Podatność w TM2 Monitoring v3.04 umożliwia ominięcie uwierzytelniania oraz ujawnienie haseł w postaci jawnego tekstu.

Hugging Face Smolagents w wersji 1.20.0 zawiera podatność typu XPath injection w funkcji search_item_ctrl_f w pliku src/smolagents/vision_web_browser.py. Funkcja ta konstruuje zapytanie XPath, bezpośrednio łącząc dane wejściowe użytkownika z wyrażeniem XPath bez odpowiedniej sanityzacji lub escapowania.

W wersji 1.6.0 aplikacji langgenius/dify-web mechanizm uwierzytelniania ujawnia istnienie kont użytkowników, zwracając różne komunikaty błędów dla nieistniejących i istniejących kont. Przy próbie logowania lub rejestracji z nieistniejącą nazwą użytkownika lub adresem e-mail system odpowiada komunikatem typu "konto nie znaleziono", natomiast gdy nazwa użytkownika lub e-mail istnieje, ale hasło jest nieprawidłowe, zwracany jest inny komunikat błędu.