CVE Vulnerability Catalog

W podatności CVE-2025-27297 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Bravo Search & Replace. Problem dotyczy wersji od n/a do 1.0 włącznie.

W podatności CVE-2025-27296 występuje brak autoryzacji w wtyczce revenueflex Auto Ad Inserter, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji wtyczki od n/a do 1.5.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Add Linked Images To Gallery w wersjach od n/a do 1.4 umożliwia atak CSRF. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

W podatności CVE-2025-27276 występuje problem Cross-Site Request Forgery (CSRF) w galerii zdjęć lizeipe (Responsive), który umożliwia eskalację uprawnień. Problem ten dotyczy wersji galerii zdjęć (Responsive) od n/a do 4.0 włącznie.

W podatności CVE-2025-27272 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki VG PostCarousel w wersjach od n/a do 1.1.

W podatności CVE-2024-12918 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Agito Computer Health4All. Problem ten dotyczy wersji przed 10.01.2025.

W podatności CVE-2024-12917 w systemie Agito Computer Health4All występuje problem z dostępem do plików lub katalogów przez osoby trzecie, spowodowany błędnie skonfigurowanymi poziomami kontroli dostępu oraz nadużyciem uwierzytelniania. Problem ten dotyczy wersji przed 10.01.2025.

W podatności CVE-2024-12916 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Agito Computer Life4All. Problem ten dotyczy wersji Life4All przed 10.01.2025.

Podatność CVE-2025-22635 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Eventer od imithemes, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji Eventer od n/a do poniżej 3.9.9.

W podatności CVE-2025-22632 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce WooCommerce Pricing – Product Pricing. Problem dotyczy wersji wtyczki od n/a do 1.0.9.

W podatności CVE-2025-22631 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji Marketing Automation od n/a do 1.2.6.8.

W podatności CVE-2025-27012 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce A1POST.BG Shipping for Woo, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.5 włącznie.

W podatności CVE-2025-26774 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Rock Solid Responsive Modal Builder for High Conversion – Easy Popups. Problem ten dotyczy wersji od n/a do 1.5.0 włącznie.

W podatności CVE-2025-26760 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy kalkulatora Calculator Builder w wersjach od n/a do 1.6.2.

W podatności CVE-2025-26757 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączenie plików. Problem ten dotyczy wersji FULL Customer od n/a do 3.1.26.

Podatność CVE-2025-26756 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w narzędziu Magic the Gathering Card Tooltips. Problem ten występuje w wersjach od n/a do 3.5.0 włącznie.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wysyłać nieprawidłowe polecenia do oprogramowania układowego GPU, co może spowodować zapis danych poza wirtualną pamięcią GPU gościa.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wykorzystać pamięć współdzieloną z oprogramowaniem układowym GPU do zapisywania danych w pamięci GPU innego gościa.

Oprogramowanie jądra zainstalowane i działające wewnątrz maszyny wirtualnej (VM) gościa może wykorzystać pamięć współdzieloną z oprogramowaniem układowym GPU do zapisywania danych poza wirtualną pamięcią GPU gościa.

Wtyczka YaySMTP dla WordPressa, używająca SMTP dla Amazon SES, jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w wersjach do 1.7.1 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.