CVE Vulnerability Catalog

Podatność typu Cross-Site Request Forgery (CSRF) w oprogramowaniu Tribulant Software Tribulant Gallery Voting umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Tribulant Gallery Voting od n/a do 1.2.1 włącznie.

W podatności CVE-2025-26915 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce PickPlugins Wishlist. Problem ten dotyczy wersji Wishlist od n/a do 1.0.41 włącznie.

W podatności CVE-2025-26907 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Estatik Mortgage Calculator. Problem dotyczy wersji od n/a do 2.0.12 włącznie.

W podatności CVE-2025-26905 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia pliku PHP w Estatik. Problem dotyczy wersji Estatik od n/a do 4.3.0.

Podatność CVE-2025-26868 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji fast-flow-dashboard, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Fast Flow od n/a do 1.2.16 włącznie.

Podatność CVE-2025-26753 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu w integracji videowhisper Broadcast Live Video, co umożliwia atak typu Path Traversal. Problem ten dotyczy wersji Broadcast Live Video od n/a do 6.2 włącznie.

Podatność CVE-2025-26752 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu w integracji videowhisper Broadcast Live Video, co umożliwia atak typu Path Traversal. Problem ten dotyczy wersji Broadcast Live Video od n/a do 6.2 włącznie.

Podatność CVE-2025-26751 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Alphabetic Pagination w wersjach od n/a do 3.2.1. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

W systemie Lumsoft ERP 8 odkryto krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku /Api/TinyMce/UploadAjaxAPI.ashx w komponencie ASPX File Handler. Manipulacja argumentem 'file' prowadzi do nieograniczonego przesyłania plików.

Wykryto podatność na niewłaściwą walidację danych wejściowych w polu konfiguracji serwera NTP karty Network-M2. Może to pozwolić uwierzytelnionemu użytkownikowi z wysokimi uprawnieniami na wykonywanie dowolnych poleceń.

Podatność CSRF w wtyczce Woocommerce – Loi Hamon umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.1.0.

Podatność CVE-2025-27352 dotyczy wtyczki 无觅相关文章插件 wumii-related-posts, która pozwala na przeprowadzenie ataku typu Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do 1.0.5.7.

Podatność typu Cross-Site Request Forgery (CSRF) w gmnazmul Smart Maintenance & Countdown umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Smart Maintenance & Countdown od n/a do 1.2 włącznie.

W Blighty Blightly Explorer występuje podatność na Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Blightly Explorer od n/a do 2.3.0 włącznie.

W podatności CVE-2025-27312 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Sitemap w wersjach od n/a do 1.0.

Podatność na deserializację niezaufanych danych w menedżerze tabeli opcji NHR pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji menedżera tabeli opcji NHR od n/a do 1.1.2.

Podatność na deserializację niezaufanych danych w giuliopanda ADFO admin-form umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji ADFO od n/a do 1.9.1 włącznie.

W podatności CVE-2025-27298 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce WP Video Posts, który umożliwia wstrzyknięcie poleceń systemowych. Dotyczy to wersji WP Video Posts od n/a do 3.5.1 włącznie.

W podatności CVE-2025-27297 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Bravo Search & Replace. Problem dotyczy wersji od n/a do 1.0 włącznie.

W podatności CVE-2025-27296 występuje brak autoryzacji w wtyczce revenueflex Auto Ad Inserter, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji wtyczki od n/a do 1.5.