CVE Vulnerability Catalog

Podatność związana z nieprawidłowym przypisaniem uprawnień w zespole Booking Activities umożliwia eskalację uprawnień. Problem ten dotyczy Booking Activities w wersjach od n/a do 1.16.44 włącznie.

W podatności CVE-2025-67952 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w motywie Grand Tour, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem dotyczy wersji Grand Tour od n/a do poniżej 5.6.2.

Podatność CVE-2025-67949 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie Hostiko. Problem ten dotyczy wersji Hostiko od n/a do poniżej 94.3.6.

Podatność CVE-2025-67947 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce AdForest Elementor, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 3.0.11 włącznie.

Podatność CVE-2025-67946 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w skrypcie AdForest. Problem ten dotyczy wersji AdForest od n/a do 6.0.11 włącznie.

W podatności CVE-2025-67943 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce My auctions allegro w wersjach od n/a do 3.6.32. Problem ten umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika.

W podatności CVE-2025-67941 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Elated-Themes The Aisle w wersjach poniżej 2.9.1. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność CVE-2025-67940 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Powerlift. Problem ten dotyczy wersji Powerlift od n/a do poniżej 3.2.1.

W podatności CVE-2025-67938 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Biagiotti. Problem ten dotyczy wersji Biagiotti od n/a do poniżej 3.5.2.

Podatność CVE-2025-67923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Crocoblock JetEngine, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji JetEngine od n/a do 3.7.7.

W podatności CVE-2025-67620 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w CleverSoft Anon anon2x, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Anon od n/a do 2.2.10 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Kids Heaven pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Kids Heaven od n/a do 3.2 włącznie.

W podatności CVE-2025-67616 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie BZOTheme Mella. Problem dotyczy wersji Mella od n/a do 1.2.29 włącznie.

W podatności CVE-2025-67615 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Myour od n/a do 1.5.1.

W podatności CVE-2025-67614 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji TheNa od n/a do 1.5.5 włącznie.

Funkcja orjson.dumps w orjson do wersji 3.11.4 nie ogranicza rekurencji dla głęboko zagnieżdżonych dokumentów JSON, co może prowadzić do problemów z wydajnością lub przepełnienia stosu.

Wtyczka WerkStatt w programie PHP ma podatność na lokalne włączenie pliku z powodu niewłaściwej kontroli nazwy pliku w instrukcji Include/Require. Problem ten dotyczy wersji wtyczki od n/a do 1.6.6.

Local File Inclusion (LFI) and Server-Side Request Forgery (SSRF) vulnerabilities were found in the InsertFromHtmlString() function of the Apryse HTML2PDF SDK up to version 11.6.0. These allow an attacker to read local files on the server and make arbitrary HTTP requests to internal or external services.

W podatności CVE-2025-54003 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Depot od n/a do 1.16 włącznie.

Podatność CVE-2025-53240 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WordPress Photo Gallery. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.0.