CVE Vulnerability Catalog

W podatności CVE-2025-22325 występuje problem Cross-Site Request Forgery (CSRF) w narzędziu Autocompleter od nchankov, który umożliwia przeprowadzenie ataku Stored XSS. Dotyczy to wersji Autocompleter od n/a do 1.3.5.2 włącznie.

Podatność CVE-2025-22324 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji OZ Canonical w wersjach do 0.5. Problem ten umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika.

W podatności CVE-2025-22320 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w produkcie ProductDyno. Problem ten dotyczy wersji od n/a do 1.0.24 włącznie.

Podatność CVE-2024-56300 dotyczy narzędzia wpspin Post/Page Copying Tool, które umożliwia wstawienie wrażliwych informacji do wysyłanych danych. Problem ten występuje w wersjach od n/a do 2.0.0 włącznie.

Podatność CVE-2024-56299 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Pektsekye Notify Odoo, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji Notify Odoo od n/a do 1.0.0 włącznie.

W podatności CVE-2024-56296 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Mang Board WP, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Mang Board WP od n/a do 1.8.4 włącznie.

Podatność na deserializację niezaufanych danych w Plainware PlainInventory z-inventory-manager umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji PlainInventory od n/a do 3.1.6 włącznie.

Podatność CVE-2024-56289 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Groundhogg, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Groundhogg od n/a do 3.7.3.3.

Podatność CVE-2024-56286 dotyczy niewłaściwego ograniczenia ścieżki do zastrzeżonego katalogu, co prowadzi do możliwości lokalnego włączenia plików PHP w dodatkach Classic Addons dla WPBakery Page Builder. Problem ten dotyczy wersji od n/a do 3.0 włącznie.

Podatność CVE-2024-56283 dotyczy deserializacji niezaufanych danych w Locatoraid Store Locator, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 3.9.50 włącznie.

W podatności CVE-2024-56282 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w dodatku Elicus WPMozo Addons Lite dla Elementora. Problem dotyczy wersji dodatku od n/a do 1.1.0.

W podatności CVE-2024-56281 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki 워드프레스 결제 심플페이 w wersjach od n/a do 5.2.0.

W podatności CVE-2024-56280 w WPGuppy wpguppy-lite występuje nieprawidłowe przypisanie uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji WPGuppy od n/a do 1.1.0 włącznie.

W podatności CVE-2024-51715 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji ClickWhale. Problem ten dotyczy wersji ClickWhale od n/a do 2.4.1 włącznie.

W podatności CVE-2024-51700 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w NAVER Analytics, co prowadzi do ataków typu Stored XSS. Problem ten dotyczy wersji NAVER Analytics od n/a do 0.9 włącznie.

W podatności CVE-2024-49644 występuje błędne przypisanie uprawnień w module Accessibility by AllAccessible, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.3.4 włącznie.

W podatności CVE-2024-49633 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji DirectoryPress. Problem dotyczy wersji od n/a do 3.6.19.

Podatność typu Path Traversal w SMSA Express SMSA Shipping pozwala na przejście poza dozwolone ścieżki w systemie plików. Problem ten dotyczy wersji SMSA Shipping od n/a do 2.3 włącznie.

Wtyczka MIPL WC Multisite Sync dla WordPressa jest podatna na atak typu Directory Traversal we wszystkich wersjach do i włącznie z 1.1.5 poprzez akcję 'mipl_wc_sync_download_log'. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Croma Music dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji 'ironMusic_ajax' we wszystkich wersjach do 3.6 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.