CVE Vulnerability Catalog

Podatność typu Cross-Site Request Forgery (CSRF) w widżecie lokalizatora sklepów Store Locator Widget umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Store Locator Widget od n/a do 2025r2 włącznie.

W podatności CVE-2025-30895 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w wtyczce WpEvently dla systemu WordPress. Problem ten umożliwia lokalne włączenie plików PHP i dotyczy wersji WpEvently od n/a do 4.2.9.

W podatności CVE-2025-30891 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki WpTravelly w wersjach od n/a do 1.8.7.

W podatności CVE-2025-30890 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Login Widget for Ultimate Member w wersjach od n/a do 1.1.2.

W podatności CVE-2025-30879 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce MC Woocommerce Wishlist w wersjach od n/a do 1.8.9. Atakujący może wykorzystać tę lukę do manipulacji bazą danych.

Podatność CVE-2025-30871 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w WP Travel Engine. Problem ten dotyczy wersji WP Travel Engine od n/a do 6.3.5.

W podatności CVE-2025-30868 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Team Manager od n/a do 2.1.23.

Podatność CSRF w wtyczce PressMaximum Currency Switcher dla WooCommerce umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Currency Switcher dla WooCommerce od n/a do 0.0.7.

W podatności CVE-2025-30846 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki Restaurant Menu by MotoPress w wersjach od n/a do 2.4.4.

W podatności CVE-2025-30845 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w dodatkach The Pack Elementor. Problem dotyczy wersji dodatków The Pack Elementor od n/a do 2.1.1.

W podatności CVE-2025-30843 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w aplikacji bizcalendar-web. Problem dotyczy wersji od n/a do 1.1.0.34.

W podatności CVE-2025-30831 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki Themify Event Post w wersjach od n/a do 1.3.2.

W podatności CVE-2025-30829 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem ten dotyczy wtyczki WPCafe w wersjach od n/a do 2.2.31.

W podatności CVE-2025-30820 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji WishSuite od n/a do 1.4.4 włącznie.

W podatności CVE-2025-30819 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w aplikacji Simple Giveaways w wersjach od n/a do 2.48.1.

Podatność CVE-2025-30814 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RadiusTheme The Post Grid w wersjach od n/a do 7.7.17.

W podatności CVE-2025-30810 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce Lead Form Data Collection to CRM wp-leads-builder-any-crm. Problem dotyczy wersji od n/a do 3.0.1.

W podatności CVE-2025-30806 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Vimeotheque w wersjach od n/a do 2.3.4.2. Atakujący może wykorzystać tę lukę do nieautoryzowanego dostępu do bazy danych.

W podatności CVE-2025-30791 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce wpdever Cart tracking dla WooCommerce. Problem dotyczy wersji wtyczki od n/a do 1.0.16.

W podatności CVE-2025-30788 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczkach Eli EZ SQL Reports Shortcode Widget oraz DB Backup, co umożliwia wykonanie ataku SQL Injection. Problem dotyczy wersji EZ SQL Reports Shortcode Widget i DB Backup od n/a do 5.25.08 włącznie.