CVE Vulnerability Catalog

W podatności CVE-2025-31070 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w dodatku HTML5 Radio Player dla WPBakery Page Builder. Problem dotyczy wersji od n/a do 2.5 włącznie.

Podatność CVE-2025-31055 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Electrician - Electrical Service dla WordPressa, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.0.

Podatność CVE-2025-30955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce ListingEasy, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 1.9.2 włącznie.

W podatności CVE-2025-29000 występuje brak autoryzacji w formularzu kontaktowym Multi-language Responsive Contact Form, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji od n/a do 2.8 włącznie.

W URL Shortener autorstwa Md Yeasin Ul Haider występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji od n/a do 3.0.7 włącznie.

Podatność CVE-2025-28955 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu w wtyczce Easy Video Player dla WordPress i WooCommerce, co umożliwia atak typu Path Traversal. Problem ten dotyczy wersji wtyczki od n/a do 10.0 włącznie.

Podatność na deserializację niezaufanych danych w NooTheme Yogi umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Yogi od n/a do poniżej 2.9.3.

Podatność na deserializację niezaufanych danych w awethemes Hillter umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Hillter od n/a do 3.0.7.

W podatności CVE-2025-54043 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w YayCommerce SMTP dla Amazon SES. Problem ten dotyczy wersji SMTP dla Amazon SES od n/a do 1.9 włącznie.

W podatności CVE-2025-54026 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w klasach motywu GymBase. Problem dotyczy wersji klas GymBase od n/a do 1.4 włącznie.

Podatność CVE-2025-53990 dotyczy deserializacji niezaufanych danych w JetFormBuilder, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji JetFormBuilder od n/a do 3.5.1.2.

W podatności CVE-2025-48301 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w YayCommerce SMTP dla SendGrid – YaySMTP. Problem ten dotyczy wersji YaySMTP od n/a do 1.5 włącznie.

W podatności CVE-2025-48299 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w YayCommerce YayExtra. Problem ten dotyczy wersji YayExtra od n/a do 1.5.5 włącznie.

W podatności CVE-2025-48161 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w YayCommerce YaySMTP smtp-sendinblue. Problem ten dotyczy wersji YaySMTP od n/a do 1.3 włącznie.

W podatności CVE-2025-48153 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce Import CDN-Remote Images, która umożliwia atak typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 2.1.2 włącznie.

Wtyczka Counter live visitors dla WooCommerce w WordPressie jest podatna na nieautoryzowane usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji wcvisitor_get_block we wszystkich wersjach do 1.3.6 włącznie. Atakujący bez uwierzytelnienia mogą usunąć dowolne pliki na serwerze.

Wtyczka Malcure Malware Scanner — #1 narzędzie do usuwania złośliwego oprogramowania z WordPressa jest podatna na usuwanie dowolnych plików z powodu braku sprawdzenia uprawnień w funkcji wpmr_delete_file() w wersjach do 17.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej usuwanie dowolnych plików, co może prowadzić do zdalnego wykonania kodu.

Wykorzystanie tej podatności może umożliwić atakującemu wykonanie dowolnych poleceń jako root, co może prowadzić do utraty poufności, integralności, dostępności oraz pełnej kontroli nad punktem dostępowym.

VMware ESXi, Workstation, Fusion oraz VMware Tools zawierają podatność na ujawnienie informacji z powodu użycia niezinicjalizowanej pamięci w vSockets. Złośliwy użytkownik z lokalnymi uprawnieniami administracyjnymi na maszynie wirtualnej może wykorzystać tę lukę do wycieku pamięci z procesów komunikujących się za pomocą vSockets.