CVE Vulnerability Catalog

Lychee to darmowe narzędzie do zarządzania zdjęciami. W wersjach od 6.6.6 do przed 6.6.10, atakujący może uzyskać dostęp do lokalnych plików, w tym zmiennych środowiskowych, logów nginx, zdjęć przesłanych przez innych użytkowników oraz tajemnic konfiguracyjnych z powodu luki typu path traversal w pliku SecurePathController.php. Problem został naprawiony w wersji 6.6.10.

Wtyczka Pixabay Images dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji pixabay_upload we wszystkich wersjach do 3.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Fuji Electric Smart Editor jest podatny na zapis poza granicami, co może umożliwić atakującemu wykonanie dowolnego kodu.

Fuji Electric Smart Editor jest podatny na przepełnienie bufora opartego na stosie, co może umożliwić atakującemu wykonanie dowolnego kodu.

Fuji Electric Smart Editor jest podatny na odczyt poza zakresem, co może umożliwić atakującemu wykonanie dowolnego kodu.

Występuje podatność na zapis poza przydzielonym obszarem pamięci w trakcie analizy plików PRJ. Problemy te wynikają z braku odpowiedniej walidacji danych dostarczanych przez użytkownika, co może prowadzić do różnych problemów z korupcją pamięci w aplikacji.

Podatność typu 'Path Traversal' w Litho od themezaa pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem ten dotyczy wersji Litho od n/a do 3.0 włącznie.

W podatności CVE-2025-49854 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Slim SEO. Problem dotyczy wersji Slim SEO od n/a do 4.5.4 włącznie.

W podatności CVE-2025-49508 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików w LoftOcean CozyStay. Problem dotyczy wersji CozyStay od n/a do poniżej 1.7.1.

Podatność typu Path Traversal w wtyczce Aeroscroll Gallery – Infinite Scroll Image Gallery & Post Grid z Photo Gallery pozwala na nieautoryzowany dostęp do plików systemowych. Problem ten dotyczy wersji od n/a do 1.0.13 włącznie.

W podatności CVE-2025-49415 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w FW Gallery od Fastw3b LLC. Problem ten dotyczy wersji FW Gallery od n/a do 8.0.0 włącznie.

Podatność CVE-2025-49331 dotyczy deserializacji niezaufanych danych w eCommerce Product Catalog, co pozwala na wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 3.4.3 włącznie.

W podatności CVE-2025-49316 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP2LEADS. Problem dotyczy wersji od n/a do 3.5.0 włącznie.

Wtyczka Echo RSS Feed Post Generator dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 5.4.8.1.

W podatności CVE-2025-49266 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Rustaurius Ultimate Reviews. Problem ten dotyczy wersji Ultimate Reviews od n/a do 3.2.14 włącznie.

W podatności CVE-2025-49261 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten dotyczy wersji Diza od n/a do 1.3.8 włącznie.

W podatności CVE-2025-49260 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy wersji Aora od n/a do 1.3.9 włącznie.

W podatności CVE-2025-49259 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Hara od n/a do 1.2.10.

W podatności CVE-2025-49258 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten dotyczy wersji Maia od n/a do 1.1.15 włącznie.

W podatności CVE-2025-49257 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wersji Zota od n/a do 1.3.8 włącznie.