CVE Vulnerability Catalog

Podatność typu Cross-Site Request Forgery (CSRF) w widgecie Eli EZ SQL Reports Shortcode oraz DB Backup umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji EZ SQL Reports Shortcode Widget i DB Backup od n/a do 5.25.08 włącznie.

Podatność CVE-2025-30785 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce WP Shuffle Subscribe to Download Lite w wersjach od n/a do 1.2.9. Może to umożliwić atakującym dostęp do wrażliwych plików na serwerze.

W podatności CVE-2025-30784 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Shuffle WP Subscription Forms. Problem dotyczy wersji wtyczki od n/a do 1.2.3 włącznie.

Wtyczka WP Google Review Slider w wersjach od n/a do 16.0 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia wykonanie ataku SQL Injection. Problem ten dotyczy wtyczki jgwhite33 WP Google Review Slider.

W podatności CVE-2025-30775 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w WPGuppy wpguppy-lite. Problem dotyczy wersji WPGuppy od n/a do 1.1.3 włącznie.

Podatność CVE-2025-30773 dotyczy deserializacji niezaufanych danych w wtyczce TranslatePress, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji TranslatePress od n/a do 2.9.6 włącznie.

W WPClever WPC Smart Upsell Funnel dla WooCommerce występuje luka związana z brakiem autoryzacji, która umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 3.0.4 włącznie.

W WIP WooCarousel Lite występuje podatność na atak Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 1.1.7 włącznie.

Podatność CVE-2025-30765 dotyczy wtyczki WPPOOL FlexStock, która umożliwia atak typu Blind SQL Injection. Problem występuje w wersjach od n/a do 3.13.1.

W frameworku telefonów Xiaomi występuje podatność na nieautoryzowany dostęp, spowodowana niewłaściwą walidacją. Atakujący mogą wykorzystać tę podatność do uzyskania dostępu do wrażliwych metod.

W aplikacji Xiaomi smarthome występuje podatność na wykonanie kodu, spowodowana niewłaściwą walidacją danych wejściowych. Atakujący mogą wykorzystać tę lukę do uruchomienia złośliwego kodu.

W aplikacji webowej OPC cardsystems w wersji 2.1.0 odkryto problem związany z ponownym używaniem referencji przypisanych do transakcji. W zależności od czasu realizacji, podczas finalizacji płatności, mogą być zakończone pierwsze lub wszystkie transakcje z tą samą referencją.

W Icinga Reporting, który jest centralnym komponentem do raportowania w Icinga Web 2, występuje podatność w wersjach od 0.10.0 do 1.0.2, która pozwala na osadzenie dowolnego kodu Javascript w szablonach. To umożliwia atakującemu działanie w imieniu użytkownika podczas podglądu szablonu oraz w imieniu przeglądarki bez interfejsu graficznego podczas generowania raportu do PDF.

W podatności CVE-2025-28939 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce EuroCizia WP Google Calendar Manager w wersjach od n/a do 2.1.

Podatność CVE-2025-28935 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bibliotece Fancybox Plus w wersjach od n/a do 1.0.1. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-28934 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Post Series, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 2.4.4 włącznie.

Wtyczka 'Are you robot google recaptcha for wordpress' w wersjach od n/a do 2.2 zawiera podatność na atak typu Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

W podatności CVE-2025-28924 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w Simbul ZenphotoPress, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji ZenphotoPress od n/a do 1.8 włącznie.

Podatność CVE-2025-28921 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji SpatialMatch IDX w wersjach od n/a do 3.0.9. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.