Katalog podatności CVE

Podatność CVE-2025-11025 dotyczy platformy Vimesoft Corporate Messaging, która pozwala na wyciąganie wbudowanych danych wrażliwych z wysyłanych wiadomości. Problem ten występuje w wersjach od V1.3.0 do przed V2.0.0.

W OGRECave Ogre do wersji 14.4.1 wykryto lukę bezpieczeństwa w funkcji STBIImageCodec::encode w pliku /ogre/PlugIns/STBICodec/src/OgreSTBICodec.cpp komponentu Image Handler. Manipulacja prowadzi do przepełnienia bufora na stercie (heap-based buffer overflow). Atak jest możliwy tylko z lokalnym dostępem, a exploit został publicznie ujawniony.

Biblioteka BehaviorTree w wersji do 4.7.0 zawiera przepełnienie bufora na stosie w funkcji ParseScript w pliku /src/script_parser.cpp (komponent Diagnostic Message Handler) poprzez manipulację argumentem error_msgs_buffer. Atak wymaga dostępu lokalnego, a exploit został publicznie ujawniony.

W bibliotece libucl do wersji 0.9.2 wykryto podatność w funkcji ucl_include_common w pliku /src/ucl_util.c. Manipulacja danymi prowadzi do przepełnienia bufora na stercie. Wymagany jest dostęp lokalny, a exploit został publicznie ujawniony.

W GitLab CE/EE odkryto problem we wszystkich wersjach od 17.2 przed 18.2.7, 18.3 przed 18.3.3 oraz 18.4 przed 18.4.1. Pozwala on atakującemu na niekontrolowane zużycie CPU podczas używania określonych zapytań GraphQL, co może prowadzić do odmowy usługi (DoS).

W GitLab EE w wersjach od 16.6 przed 18.2.7, 18.3 przed 18.3.3 oraz 18.4 przed 18.4.1 wykryto podatność eskalacji uprawnień. Deweloper z określonymi uprawnieniami do zarządzania grupą mógł podnieść swoje uprawnienia i uzyskać nieautoryzowany dostęp do dodatkowych funkcji systemu.

Wtyczka Google+ Comments do WordPressa jest podatna na przechowywany XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 1.0 włącznie.

Wtyczka kontur Admin Style do WordPressa jest podatna na przechowywany XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 1.0.4 włącznie.

Wtyczka SEO Search Permalink do WordPressa jest podatna na przechowywany XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 1.0.3 włącznie.

Wtyczka Silencesoft RSS Reader do WordPressa jest podatna na Server-Side Request Forgery (SSRF) z powodu niewłaściwej walidacji adresów URL. Podatność dotyczy wersji do 0.6 włącznie.

Wtyczka Click & Tweet do WordPressa jest podatna na przechowywany XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 0.8.9 włącznie.

Wtyczka Recaptcha – wp do WordPressa jest podatna na przechowywany XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 0.2.6 włącznie.

Podatność polegająca na ujawnieniu wrażliwych informacji systemowych nieautoryzowanemu podmiotowi w wtyczce Page Manager for Elementor (honzat) w wersjach do 2.0.5 włącznie. Umożliwia ona odzyskanie osadzonych wrażliwych danych.

Brak autoryzacji w wtyczce WP Subscription Forms PRO od wersji n/a do 2.0.5 pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność umożliwia nieautoryzowany dostęp do funkcji, które powinny być chronione.

Wtyczka Frames od HaruTheme zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Frames do 1.5.7 włącznie.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce bbp topic count (Robin W) w wersjach do 3.2 włącznie. Umożliwia ona ataki DOM-Based XSS.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Job Board Manager (PickPlugins) w wersjach do 2.1.61 włącznie. Umożliwia ona ataki DOM-Based XSS.

Podatność typu Server-Side Request Forgery (SSRF) we wtyczce bdthemes ZoloBlocks (zoloblocks). Problem dotyczy wersji ZoloBlocks od n/a do <= 2.3.11 włącznie.

Wtyczka Smart Related Products od sharkthemes (ai-related-products) jest podatna na przechowywany cross-site scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji do 2.0.8 włącznie.

Wtyczka Nota Fiscal Eletrônica WooCommerce do wersji 3.4.0.9 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.