Katalog podatności CVE

Przy użyciu Alt-Svc, ALPN nie poprawnie weryfikował certyfikatów, gdy oryginalny serwer przekierowuje na niezabezpieczoną witrynę. Podatność została naprawiona w Firefox 134, Firefox ESR 128.6, Thunderbird 134 i Thunderbird 128.6.

Zakładając kontrolowaną nieudaną alokację pamięci, atakujący mógł spowodować błąd use-after-free, prowadzący do potencjalnie wykorzystywalnej awarii. Podatność została naprawiona w wersjach Firefox 134, Firefox ESR 128.6, Firefox ESR 115.19, Thunderbird 134 i Thunderbird 128.6.

API WebChannel, używane do przesyłania informacji między procesami, nie sprawdzało podmiotu wysyłającego, lecz akceptowało podmiot przesyłany. Mogło to prowadzić do ataków eskalacji uprawnień. Podatność naprawiona w Firefox 134, Firefox ESR 128.6, Thunderbird 134 i Thunderbird 128.6.

Podatność CVE-2024-56056 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w SimpleCharm, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji SimpleCharm od n/a do 1.4.3 włącznie.

Podatność w Crater Invoice pozwala nieautoryzowanemu atakującemu, który zna APP_KEY, na zdalne wykonanie poleceń na serwerze poprzez manipulację ciasteczkiem laravel_session. Wykorzystanie tej podatności opiera się na uzyskaniu tajnego APP_KEY, co umożliwia deszyfrowanie i manipulację danymi sesji.

JATOS 3.9.4 zawiera podatność na atak typu DoS w systemie uwierzytelniania. Atakujący może zablokować konto użytkownika, wysyłając 3 nieudane próby logowania na minutę, co powoduje trwałe zablokowanie konta. Blokada działa na poziomie konta, a nie adresu IP, więc każdy atakujący może zablokować dowolne konto.

W podatności CVE-2024-53800 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten dotyczy wersji Rezgo od n/a do 4.17 włącznie.

W systemie Car Rental Management System w wersjach od 1.0 do 1.3 występuje podatność umożliwiająca uwierzytelnionemu atakującemu przesłanie dowolnego pliku. Może to prowadzić do wykonania złośliwego kodu na serwerze.

Vehicle Management System 1.0 zawiera podatność na wstrzykiwanie SQL. Niezalogowany użytkownik może wykorzystać parametry POST w akcjach administracyjnych, takich jak rezerwacja pojazdu czy potwierdzenie rezerwacji. Podatne parametry to "Booking ID", "Action Name" i "Payment Confirmation ID" w plikach /newvehicle.php i /newdriver.php.

W CTFd 3.7.3 w funkcji validate_email w pliku CTFd/utils/validators/__init__.py występuje podatność na atak ReDoS (Regular expression Denial of Service). Atakujący może wysłać spreparowany adres e-mail podczas rejestracji, powodując nadmierne obciążenie serwera.

W aplikacji Ach Invoice App występuje podatność na lokalne włączenie pliku PHP z powodu niewłaściwej kontroli nazwy pliku w instrukcji Include/Require. Problem dotyczy wersji od n/a do 1.0.1.

Podatność CVE-2025-22359 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w SyncFields w wersjach od n/a do 2.1 włącznie.

Podatność CVE-2025-22358 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Wp advertising management w wersjach od n/a do 1.0.3. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-22357 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Target Notifications dla WordPressa, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.1.1.

Podatność CVE-2025-22355 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Kikx Simple Post Author Filter, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.0 włącznie.

Podatność CVE-2025-22353 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BVD Easy Gallery Manager, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.0.6 włącznie.

Podatność CVE-2025-22352 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes w wersjach od n/a do 1.4.9.

W podatności CVE-2025-22351 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Contact Form 7 Database – CFDB7. Problem dotyczy wersji od n/a do 1.0.0.

Wtyczka WP Marka WordPress Auction Plugin wp-auctions zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 3.7 włącznie.

Podatność CVE-2025-22348 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection. Problem ten dotyczy wersji DynamicTags od n/a do 1.4.0.