CVE Vulnerability Catalog

Podatność CVE-2025-46234 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w kontrolce Control Listings. Problem ten dotyczy wersji od n/a do 1.0.4.1 włącznie.

W podatności CVE-2025-46230 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wtyczki Popup Builder w wersjach od n/a do 1.1.35.

Podatność CVE-2025-39408 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w EverPress BruteGuard, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji BruteGuard – Brute Force Login Protection od n/a do 0.1.4 włącznie.

Podatność CVE-2025-39400 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce User Registration w wersjach od n/a do poniżej 4.2.0. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

W podatności CVE-2025-39399 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia pliku. Problem ten dotyczy wersji License For Envato od n/a do 1.0.0.

Podatność typu Cross-site Scripting (XSS) w wtyczce Anything Popup umożliwia atakującym wstrzykiwanie złośliwego kodu do generowanych stron internetowych. Problem dotyczy wersji od n/a do 7.3 włącznie.

W podatności CVE-2025-39391 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP. Problem ten dotyczy wtyczki Checkout Field Visibility dla WooCommerce w wersjach od n/a do 1.3.0.

Podatność CVE-2025-39387 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Opstore. Problem ten dotyczy wersji Opstore od n/a do 1.4.5.

W podatności CVE-2025-39384 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem dotyczy wersji Product Lister for eBay od n/a do 2.0.9.

W podatności CVE-2025-39383 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem ten dotyczy wersji Xews Lite od n/a do 1.0.9 włącznie.

Podatność CVE-2025-39382 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce ACF: Google Font Selector. Problem ten występuje w wersjach od n/a do 3.0.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Kiotviet KiotViet Sync umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji KiotViet Sync od n/a do 1.8.4.

W podatności CVE-2025-39379 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączanie plików. Problem ten dotyczy wersji Capturly od n/a do 2.0.1.

Podatność CVE-2025-39378 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki Spreadsheet Price Changer dla WooCommerce i WP E-commerce – Light w wersjach od n/a do 2.4.37.

W aplikacji weDevs Appsero Helper występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji Appsero Helper od n/a do 1.3.4.

W podatności CVE-2025-39360 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy motywu Grace Mag w wersjach od n/a do 1.1.5.

Podatność CVE-2025-39359 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w CWW Portfolio w wersjach od n/a do 1.3.1.

W podatności CVE-2025-32921 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Arrival od n/a do 1.4.5.

Z powodu niewłaściwej implementacji tokenów JSON Web Tokens, nieautoryzowany zdalny atakujący może odgadnąć ważny identyfikator sesji, co pozwala mu na podszywanie się pod użytkownika i uzyskanie pełnego dostępu.

Z powodu braku autoryzacji, nieautoryzowany zdalny atakujący może spowodować atak DoS, łącząc się przez HTTPS i uruchamiając przycisk wyłączenia.