CVE Vulnerability Catalog

W podatności CVE-2025-54697 występuje nieprawidłowe przypisanie uprawnień w wtyczce StellarWP Kadence WooCommerce Email Designer, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 1.5.16 włącznie.

Wtyczka Membership For WooCommerce zawiera lukę w autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji wtyczki od n/a do 2.9.0 włącznie.

W podatności CVE-2025-54690 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Xinterio od n/a do 4.2.

W podatności CVE-2025-54689 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem ten dotyczy wersji Urna od n/a do 2.5.7 włącznie.

W produkcie Neon Channel Product Customizer Free występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 2.0 włącznie.

Podatność CVE-2025-52823 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce Cube Portfolio w wersjach od n/a do 1.16.8. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

Wtyczka infosoftplugin WooCommerce Point Of Sale (POS) zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji WooCommerce Point Of Sale (POS) od n/a do 1.4 włącznie.

W podatności CVE-2025-52806 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki JobSearch w wersjach od n/a do poniżej 3.0.8.

W podatności CVE-2025-52801 w systemie VonStroheim TheBooking występuje brak odpowiedniej autoryzacji, co pozwala na dostęp do funkcji, które nie są właściwie ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji TheBooking od n/a do 1.4.4 włącznie.

W systemie E-Commerce ERP firmy Unity Business Technology Pty Ltd występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 2.1.1.3 włącznie.

Podatność CVE-2025-52788 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w CaptionPix, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach CaptionPix od n/a do 1.8 włącznie.

W podatności CVE-2025-52785 występuje brak autoryzacji w API SMM softnwords, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji API SMM od n/a do 6.0.31 włącznie.

W projekcie Project Cost Calculator występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji od n/a do 1.0.0 włącznie.

Podatność CVE-2025-52732 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia plików. Problem ten występuje w GMap Targeting w wersjach od n/a do 1.1.6.

Wtyczka WordPress Event Manager, Event Calendar i Booking Plugin eventin-pro zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji wtyczki od n/a do 4.0.24.

W podatności CVE-2025-52728 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Responsive Posts Carousel Pro w wersjach od n/a do 15.0.

W podatności CVE-2025-52716 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce Acato WP REST Cache. Problem dotyczy wersji WP REST Cache od n/a do 2025.1.0.

Podatność CVE-2025-49869 dotyczy deserializacji niezaufanych danych w wtyczce Arraytics Eventin wp-event-solution, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Eventin od n/a do 4.0.31 włącznie.

Podatność CVE-2025-49271 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w GravityWP - Merge Tags w wersjach od n/a do 1.4.4.

W podatności CVE-2025-49267 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do podatności na Blind SQL Injection w Shabti Kaplan Frontend Admin od DynamiApps. Problem dotyczy wersji od n/a do 3.28.3 włącznie.