CVE Vulnerability Catalog

W podatności CVE-2025-62956 występuje problem Cross-Site Request Forgery (CSRF) w iseremet Reloadly reloadly-topup-widget, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Reloadly od n/a do 2.0.1 włącznie.

W podatności CVE-2025-62945 występuje problem Cross-Site Request Forgery (CSRF) w Did Prestashop Display, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Did Prestashop Display od n/a do 1.0.30 włącznie.

Wtyczka WP Business Hours w wersjach od n/a do 1.4 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atak typu Stored XSS. Problem ten może prowadzić do nieautoryzowanego wykonania kodu na stronie.

W podatności CVE-2025-62933 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Prakash Awesome Testimonials, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji wtyczki od n/a do 2.2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w formularzu kontaktowym Multilang Contact Form umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji formularza od n/a do 1.5 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w narzędziu do budowy tabel cenowych wpdevart Pricing Table umożliwia przechowywanie ataków XSS. Problem dotyczy wersji narzędzia od n/a do 1.5.3 włącznie.

W repozytorium langchain-ai/langchain występuje podatność na wstrzykiwanie SQL, szczególnie w implementacji SQLite w LangGraph. Problem dotyczy wersji langgraph-checkpoint-sqlite 2.0.10 i wynika z niewłaściwego przetwarzania operatorów filtrów, co umożliwia atakującym wstrzykiwanie dowolnego SQL.

Wtyczka Stripe Payment Forms od WP Full Pay, służąca do akceptacji płatności kartą kredytową, darowizn i subskrypcji w WordPressie, jest podatna na atak typu SQL Injection poprzez parametr 'wpfs-form-name' we wszystkich wersjach do i włącznie z 8.3.1. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Product Filter by WBW dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'filtersDataBackend' we wszystkich wersjach do i włącznie z 2.9.7. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka wpForo Forum dla WordPressa jest podatna na ataki typu SQL Injection, zarówno oparte na błędach, jak i czasie, poprzez funkcję get_members() we wszystkich wersjach do 2.4.8 włącznie. Problem wynika z braku walidacji całkowitych wartości dla parametrów 'offset' i 'row_count'.

Wtyczka Directorist: AI-Powered Business Directory Plugin z ogłoszeniami klasyfikowanymi dla WordPressa jest podatna na nieautoryzowane przenoszenie plików z powodu niewystarczającej walidacji ścieżek plików w akcji AJAX add_listing_action we wszystkich wersjach do 8.4.8 włącznie. Umożliwia to nieautoryzowanym atakującym przenoszenie dowolnych plików na serwerze.

Wtyczka Simple Registration dla WooCommerce w WordPressie jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.5.8. Problem wynika z braku walidacji nonce w obsłudze żądań ról na stronie administracyjnej.

Wtyczka Watu Quiz dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nagłówek HTTP Referer w wersjach mniejszych lub równych 3.4.4. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych, gdy opcja 'Zapisz adres URL źródła' jest włączona.

An authenticated admin user with access to both the management WebUI and command line interface on a Firebox can enable a diagnostic debug shell by uploading a platform and version-specific diagnostic package and executing a leftover diagnostic command.

Oprogramowanie do zarządzania projektami Plane przed wersją 1.1.0 zawierało podatność na otwarte przekierowanie w parametrze zapytania ?next_path, co umożliwiało atakującym wstrzykiwanie dowolnych schematów, takich jak javascript:. To prowadziło do podatności na ataki XSS, pozwalających na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

PerfreeBlog version 4.0.11 has a file upload vulnerability in the installPlugin function. This allows an attacker to upload a malicious file to the server.

PerfreeBlog version 4.0.11 has a file upload vulnerability in the installTheme function. This flaw allows an attacker to upload a malicious file to the server.

PerfreeBlog version 4.0.11 has an arbitrary file deletion vulnerability in the unInstallTheme function. An attacker can exploit this flaw to delete arbitrary files on the server.

W podatności CVE-2025-11145 w oprogramowaniu EnVision firmy CBK Soft występuje problem z ujawnieniem wrażliwych informacji osobistych osobom nieuprawnionym. Umożliwia to atakującym zbieranie informacji o kontach użytkowników.

Funkcja Utils.deserialize w pgCodeKeeper w wersji 10.12.0 przetwarza zserializowane dane z nieufnych źródeł. Atakujący może dostarczyć specjalnie przygotowany plik .ser, co może prowadzić do niezamierzonego wykonania kodu lub innego złośliwego zachowania w systemie docelowym.