Katalog podatności CVE

W Portabilis i-Educar do wersji 2.10 wykryto podatność polegającą na manipulacji argumentem ref_cod_aluno w pliku educar_historico_escolar_lst.php, co prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 rozwiązuje problem.

Podatność CVE-2025-8695 dotyczy serwera NetGIS, gdzie niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji NetGIS Server od 5.2.4 do 22.08.2025.

Wtyczka StoryMap (wp-storymap) jest podatna na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka dotyczy wersji od n/a do <= 2.1.

Podatność typu Stored XSS w wtyczce Pushe Web Push Notification do wersji 0.5.0 włącznie. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka Donation Forms WP by Givecloud w wersjach do 1.0.9 włącznie ma lukę typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt zapisany w formularzu jest wykonywany u użytkowników.

Wtyczka Media Author (od n/a do wersji 1.0.4) ma podatność na nieprawidłowe przypisanie uprawnień, co pozwala na eskalację uprawnień. Problem dotyczy wtyczki Media Author.

Wtyczka WordPress Custom Team Manager (wersje do 2.4.2) zawiera podatność na przechowywane XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka WordPress FW Anker (wersje do 1.2.6) zawiera podatność na przechowywane XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Bonus for Woo dla WooCommerce zawiera podatność związaną z nieprawidłową walidacją określonej ilości w danych wejściowych, co umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji do 7.6.6 włącznie.

Wtyczka Parallax Scrolling Enllax.js (parallax-scrolling-enllax-js) dla WordPressa zawiera podatność na ataki typu Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 0.0.6 włącznie. Podatność umożliwia nieuwierzytelnionym atakującym wykonanie niepożądanych akcji w kontekście administratora.

Wtyczka WordPress Parallax Scrolling Enllax.js do wersji 0.0.6 zawiera podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce ofiary.

Motyw SoftMe dla desertthemes ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.1.27 włącznie.

Wtyczka Best Restaurant Menu by PriceListo w wersjach do 1.4.3 włącznie ma lukę Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt jest przechowywany i wykonywany u użytkowników.

Wtyczka Payoneer Checkout dla WordPressa ma brakującą autoryzację, co umożliwia podszywanie się pod treść (Content Spoofing). Podatność dotyczy wersji do 3.4.0 włącznie.

Wtyczka WordPress WPB Elementor Addons do wersji 1.7 zawiera podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce ofiary.

W wtyczce Gutentor dla WordPressa (wersje do 3.5.5 włącznie) występuje brak autoryzacji. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność w module ekranu głównego polega na nieprawidłowej weryfikacji uprawnień. Udana eksploatacja może wpłynąć na dostępność systemu.

Podatność w motywie OceanWP dla WordPress (przed wersją 4.1.2) polegająca na braku kontroli uprawnień w jednym z handlerów AJAX, co pozwala uwierzytelnionym użytkownikom, takim jak subskrybenci, na aktualizację ustawienia 'darkMod'.

Weblate, narzędzie do lokalizacji oparte na sieci, zawiera podatność w wersjach przed 5.13.1, która powoduje długi czas wygaśnięcia sesji podczas weryfikacji drugiego czynnika. Długi czas sesji może być wykorzystany do obejścia ograniczeń szybkości dla drugiego czynnika. Problem został naprawiony w wersji 5.13.1.

W frameworku Electron istnieje możliwość obejścia mechanizmu ASAR Integrity poprzez modyfikację zasobów. Podatność dotyczy wyłącznie aplikacji z włączonymi fuse'ami embeddedAsarIntegrityValidation i onlyLoadAppFromAsar. Problem naprawiono w wersjach 35.7.5, 36.8.1, 37.3.1 i 38.0.0-beta.6.