CVE Vulnerability Catalog

W podatności CVE-2025-43837 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Total Donations w wersjach od n/a do 3.0.8. Problem ten pozwala na odzwierciedlone XSS.

Podatność CVE-2025-43836 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Syndicate Out, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 0.9 włącznie.

Podatność CVE-2025-43832 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Remote Images Grabber w wersjach od n/a do 0.6 włącznie.

W podatności CVE-2025-39459 występuje nieprawidłowe przypisanie uprawnień w systemie Real Estate 7, co umożliwia eskalację uprawnień. Problem dotyczy wersji Real Estate 7 od n/a do 3.5.2 włącznie.

W podatności CVE-2025-39458 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku w Mikado-Themes Foton w wersjach od n/a do 2.5.2. Problem ten może prowadzić do nieautoryzowanego dostępu do plików na serwerze.

W Crocoblock JetBlocks dla Elementor występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetBlocks dla Elementor od n/a do 1.3.16 włącznie.

W Crocoblock JetWooBuilder występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji JetWooBuilder od n/a do 2.1.18 włącznie.

W Crocoblock JetElements dla Elementor występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji JetElements dla Elementor od n/a do 2.7.4.1 włącznie.

Podatność CVE-2025-39446 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Booster Plus dla WooCommerce, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Booster Plus dla WooCommerce od n/a do 7.2.4.

Wtyczka WhatsApp Click to Chat dla WordPressa zawiera podatność na zdalne dołączanie plików z powodu niewłaściwej kontroli nazw plików w instrukcjach include/require. Problem ten dotyczy wersji od n/a do 2.2.12.

Podatność CVE-2025-39409 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WordPress Video Robot - The Ultimate Video Importer. Problem ten występuje w wersjach od n/a do 1.20.0.

Podatność CVE-2025-39407 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Memberpress, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach przed 1.12.0.

Podatność związana z nieprawidłowym przypisaniem uprawnień w systemie mojoomla WPAMS do zarządzania mieszkaniami umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPAMS od n/a do 44.0 włącznie (17-08-2023).

W podatności CVE-2025-39403 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie zarządzania mieszkaniami WPAMS. Problem dotyczy wersji WPAMS od n/a do 44.0 włącznie (17-08-2023).

Podatność typu Cross-Site Request Forgery (CSRF) w narzędziu CheckBot umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji CheckBot od n/a do 1.05 włącznie.

W podatności CVE-2025-43833 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce Absolute Links w wersjach od n/a do 1.1.1. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

W podatności CVE-2025-39396 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Crocoblock JetReviews. Problem dotyczy wersji JetReviews od n/a do 2.3.6 włącznie.

Podatność typu Path Traversal w bslthemes Tastyc pozwala na lokalne włączenie plików PHP. Problem ten dotyczy wersji Tastyc od n/a do poniżej 2.5.2.

Podatność CVE-2025-26997 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Wireless Butler, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.0.11 włącznie.

Podatność CVE-2025-26735 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywach Candid Grip w wersjach od n/a do 1.0.9.