Katalog podatności CVE

W podsystemie netfs jądra Linux wykryto błąd w funkcji read_collect. Gdy wiele podżądań przekazywało dane do tego samego żądania, nadpisywały one pole prev_donated, powodując uszkodzenie danych i panikę BUG().

W Tempo Operator wykryto podatność, w której włączenie funkcji Jaeger UI Monitor Tab powoduje utworzenie ClusterRoleBinding dla konta serwisowego Tempo, nadając mu rolę cluster-monitoring-view. Użytkownik z uprawnieniami do tworzenia TempoStack i odczytu sekretów w przestrzeni nazw może odczytać token konta serwisowego i uzyskać dostęp do wszystkich metryk klastra.

W Tempo Operator stwierdzono lukę, która podczas wdrażania instancji TempoStack lub TempoMonolithic tworzy ServiceAccount, ClusterRole i ClusterRoleBinding. Użytkownik z pełnym dostępem do swojej przestrzeni nazw może wyodrębnić token ServiceAccount i użyć go do wysyłania żądań TokenReview i SubjectAccessReview, potencjalnie ujawniając informacje o uprawnieniach innych użytkowników.

Wtyczka Shopper Approved Reviews dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień. Problem wynika z braku sprawdzenia uprawnień w funkcji ajax_callback_update_sa_option() w wersjach od 2.0 do 2.1.

Wtyczka Front End Users dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w polu przesyłania plików formularza rejestracyjnego we wszystkich wersjach do i włącznie z 3.2.32. To umożliwia nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W AssetView i AssetView CLOUD występuje luka związana z brakiem uwierzytelnienia dla krytycznej funkcji. W przypadku jej wykorzystania, zdalny atakujący bez uwierzytelnienia może uzyskać dostęp do plików na serwerze, na którym działa produkt, lub je usunąć.

W podatności CVE-2025-31619 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w produkcie Actionwear sync. Problem dotyczy wersji od n/a do 2.3.3.

Podatność na deserializację niezaufanych danych w CBX Poll pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji CBX Poll od n/a do 2.0.4 włącznie.

Podatność CVE-2025-31594 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPglob Auto scroll for reading, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.1.4.

Wtyczka Ni WooCommerce Product Enquiry zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 4.1.8.

W podatności CVE-2025-31579 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP AutoKeyword w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

W podatności CVE-2025-31578 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Fonts Manager | Custom Fonts. Problem dotyczy wersji od n/a do 1.2 włącznie.

Podatność CVE-2025-31571 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce The Logo Slider. Umożliwia to atak typu Cross-site Scripting (XSS) w wersjach od n/a do 1.0.0.

W podatności CVE-2025-31568 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji LeadLab firmy wiredminds. Problem ten dotyczy wersji LeadLab od n/a do 1.3 włącznie.

W podatności CVE-2025-31564 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w narzędziu Ai Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT) w wersjach do 2.2.6.

W podatności CVE-2025-31563 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w komponencie AI Search Bar w wersjach od n/a do 2.1. Problem ten może umożliwić atakującym wstrzykiwanie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarkach użytkowników.

W podatności CVE-2025-31561 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Ultimate Push Notifications. Problem dotyczy wersji od n/a do 1.2.0 włącznie.

W systemie rezerwacji salonu Dimitri Grassi występuje podatność na nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem ten dotyczy wersji systemu rezerwacji salonu od n/a do poniżej 10.15.

W podatności CVE-2025-31553 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WPFactory Advanced WooCommerce Product Sales Reporting. Problem dotyczy wersji od n/a do 4.1.1 włącznie.

W podatności CVE-2025-31552 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w RSVPMarker w wersjach od n/a do 11.6.7. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.