CVE Vulnerability Catalog

The vulnerability causes memory corruption while processing a video session to set video parameters. This could lead to unexpected system behavior or potential code execution.

The vulnerability causes memory corruption during deinitialization of an HDCP session. This may lead to unexpected system behavior or crashes.

Podatność CVE-2025-32300 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w DZS Video Gallery, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.25.

Podatność związana z nieprawidłowym przypisaniem uprawnień w Dasinfomedia WPCHURCH umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPCHURCH od n/a do 2.7.0.

A vulnerability has been found in TRENDnet TEW-811DRU version 1.0.2.0. The issue affects the setDeviceURL function in the uapply.cgi file of the httpd component. This manipulation of the DeviceURL argument causes OS command injection, and the attack can be initiated remotely. The exploit has been published and may be used.

Wtyczka WP Enable WebP dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewłaściwej walidacji typu pliku w funkcji 'wpse_file_and_ext_webp' we wszystkich wersjach do 1.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP Photo Album Plus dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting poprzez parametr 'shortcode' we wszystkich wersjach do 9.1.05.008 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach.

Wtyczka Frontend File Manager dla WordPressa w wersjach przed 23.5 nie weryfikowała parametru ścieżki oraz właściciela pliku, co umożliwiało każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, usuwanie dowolnych plików na serwerze.

Wtyczka Reviewify dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'send_test_email' we wszystkich wersjach do 1.0.7 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Co-Author i wyżej tworzenie dowolnych kuponów rabatowych WooCommerce.

Wtyczka Yoco Payments dla WordPressa jest podatna na atak typu Path Traversal we wszystkich wersjach do 3.9.0 włącznie, poprzez parametr pliku. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

Wtyczka Latest Registered Users dla WordPressa jest podatna na nieautoryzowany eksport danych użytkowników we wszystkich wersjach do i włącznie z 1.4. Problem wynika z braku autoryzacji i walidacji nonce w funkcji rnd_handle_form_submit.

Wtyczka MoneySpace dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.13.9 włącznie. Problem polega na tym, że wtyczka przechowuje pełne dane karty płatniczej w post_meta WordPressa i osadza je w publicznie dostępnym kodzie JavaScript bez żadnej weryfikacji tożsamości.

Wtyczka User Activity Log jest podatna na ograniczoną aktualizację opcji w wersjach do 2.2 włącznie. Handler nieudanych logowań 'ual_shook_wp_login_failed' nie sprawdza uprawnień i zapisuje nieudane nazwy użytkowników bezpośrednio w wywołaniach update_option().

Podatność CVE-2025-31642 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPCHURCH, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WPCHURCH od n/a do 2.7.0.

Podatność CVE-2025-30631 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczkach AA-Team Woocommerce Sales Funnel Builder oraz AA-Team Amazon Affiliates Addon dla WPBakery Page Builder. Problem ten dotyczy wersji Woocommerce Sales Funnel Builder od n/a do 1.1 oraz Amazon Affiliates Addon od n/a do 1.2.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczkach AA-Team Premium Age Verification / Restriction oraz AA-Team Responsive Coming Soon Landing Page dla WordPress umożliwia eskalację uprawnień. Problem dotyczy wersji Premium Age Verification / Restriction dla WordPress od n/a do 3.0.2 oraz Responsive Coming Soon Landing Page od n/a do 3.0.

W podatności CVE-2025-32304 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki WPCHURCH w wersjach od n/a do 2.7.0.

A heap buffer over-read vulnerability exists in the wolfSSH_CleanPath() function in wolfSSH. An authenticated remote attacker can trigger the issue via crafted SCP path input containing '/./' sequences, resulting in a heap over read by 1 byte.

W podatności CVE-2025-69356 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy elementów motywu TheGem (dla Elementor) w wersjach od n/a do 5.11.0.

W podatności CVE-2025-69351 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Ninja Tables w wersjach od n/a do 5.2.4.