Katalog podatności CVE

Atakujący mógłby modyfikować lub dezaktywować ustawienia, zakłócać monitorowanie paliwa oraz operacje w łańcuchu dostaw, co prowadziłoby do wyłączenia monitorowania ATG. Może to skutkować potencjalnymi zagrożeniami dla bezpieczeństwa w przechowywaniu i transportowaniu paliwa.

Wykryto podatność na atak powtórzeniowy w zestawie inteligentnego domu Zigbee produkowanym przez Ksix, gdzie mechanizm anty-replay oparty na polu licznika ramek jest niewłaściwie zaimplementowany. Atakujący w zasięgu bezprzewodowym może ponownie wysłać przechwycone pakiety z wyższym numerem sekwencyjnym, co pozwala na wstrzykiwanie fałszywych poleceń bez autoryzacji.

BleachBit to narzędzie do czyszczenia plików, które zwalnia miejsce na dysku i chroni prywatność. Wersje BleachBit dla systemu Windows do 4.6.2 są podatne na atak typu DLL Hijacking, co pozwala na wykonanie dowolnego kodu przez umieszczenie złośliwego pliku DLL o nazwie uuid.dll w określonym folderze.

W bibliotece libsoup odkryto podatność typu use-after-free w funkcji soup_message_headers_get_content_disposition(). Umożliwia ona złośliwemu klientowi HTTP wywołanie uszkodzenia pamięci w serwerze libsoup.

W systemach infotainment Oncord+ na Androidzie 12, model TS17, występuje problem, który pozwala zdalnemu atakującemu na wykonanie dowolnego kodu przez komponent portu ADB. Dotyczy to sprzętu o numerze części F57L_V3.2_20220301 oraz numerze kompilacji PlatformVER:K24-2023/05/09-v0.01.

W komponencie nsHttpTransaction przeglądarki Firefox występował warunek wyścigu (race condition), który mógł prowadzić do uszkodzenia pamięci. Podatność została naprawiona w wersji Firefox 137.0.2.

Wtyczka Barcode Generator dla WooCommerce zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.0.4.

Podatność CVE-2025-31011 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w SimplyRETS Real Estate IDX, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.2.2 włącznie.

Podatność CVE-2025-30985 dotyczy deserializacji niezaufanych danych w systemie GNUCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji GNUCommerce od n/a do 1.5.4 włącznie.

Podatność CVE-2025-30962 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce FS Poster w wersjach od n/a do 6.5.8. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-26992 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Landing Page Cat, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.7.8 włącznie.

W podatności CVE-2025-26959 występuje brak autoryzacji w systemie Administrator Z, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji Administrator Z od n/a do 2025.03.24.

W podatności CVE-2025-26958 wtyczka JetBlog od Crocoblock występuje brak odpowiednich ograniczeń autoryzacji, co pozwala na dostęp do funkcjonalności, która nie jest właściwie zabezpieczona przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetBlog od n/a do 2.4.3 włącznie.

Podatność CVE-2025-26954 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce 1pluginjquery ZooEffect, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji ZooEffect od n/a do 1.11 włącznie.

W podatności CVE-2025-26944 występuje brak odpowiednich mechanizmów autoryzacji w wtyczce Crocoblock JetPopup, co pozwala na dostęp do funkcji, które nie są właściwie ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetPopup od n/a do 2.0.11 włącznie.

W Crocoblock JetTricks występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetTricks od n/a do 1.5.1 włącznie.

W podatności CVE-2025-26894 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem ten dotyczy wtyczki Coming Soon, Maintenance Mode w wersjach od n/a do 1.1.1.

Podatność CVE-2025-26889 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w hockeydata LOS w wersjach od n/a do 1.2.4.

Podatność CVE-2025-26743 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Advance WP Query Search Filter w wersjach od n/a do 1.0.10.

W AWEOS GmbH Email Notifications for Updates występuje luka związana z brakiem autoryzacji, która umożliwia eskalację uprawnień. Problem ten dotyczy wersji Email Notifications for Updates od n/a do 1.1.6 włącznie.