CVE Vulnerability Catalog

Authorization Bypass Through User-Controlled Key vulnerability in WofficeIO Woffice Core (woffice-core) allows exploiting incorrectly configured access control security levels. This issue affects Woffice Core versions up to and including 5.4.30.

W podatności CVE-2025-67918 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w WofficeIO Woffice, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten dotyczy wersji Woffice od n/a do 5.4.30 włącznie.

Missing Authorization vulnerability in shinetheme Traveler allows exploiting incorrectly configured access control security levels. This issue affects Traveler from n/a through <= 3.2.6.

W podatności CVE-2025-67916 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Astoundify Jobify, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Jobify od n/a do 4.3.0 włącznie.

Podatność CVE-2025-67915 w Arraytics Timetics umożliwia obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał, co prowadzi do nadużycia uwierzytelnienia. Problem dotyczy wersji Timetics od n/a do 1.0.46 włącznie.

Podatność typu Path Traversal w VidMov (od wersji n/a do 2.3.8) pozwala na dostęp do plików poza zamierzonymi katalogami. Wykorzystanie tej luki może prowadzić do nieautoryzowanego dostępu do danych systemowych.

Missing Authorization vulnerability in Aruba.it Dev Aruba HiSpeed Cache allows accessing functionality not properly constrained by ACLs. This issue affects Aruba HiSpeed Cache from n/a through < 3.0.3.

Podatność CVE-2025-67911 dotyczy deserializacji niezaufanych danych w oprogramowaniu Tribulant Software Newsletters, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Newsletters od n/a do 4.11 włącznie.

Podatność CVE-2025-67910 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w aplikacji Contentstudio, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Contentstudio od n/a do 1.3.7 włącznie.

Wtyczka Famous - Responsive Image And Video Grid Gallery dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) związaną z niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji od n/a do 1.4 włącznie.

Podatność CVE-2025-27002 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji CountDown With Image or Video Background w wersjach od n/a do 1.5. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

W podatności CVE-2025-23993 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w frameworku Felan. Problem dotyczy wersji frameworka Felan od n/a do 1.1.3 włącznie.

W podatności CVE-2025-23504 w frameworku Felan występuje możliwość obejścia uwierzytelniania za pomocą alternatywnej ścieżki lub kanału, co prowadzi do nadużycia uwierzytelnienia. Problem ten dotyczy wersji frameworka Felan od n/a do 1.1.3 włącznie.

Wtyczka Workreap w AmentoTech zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 3.3.6.

The nK Themes Helper plugin for WordPress is vulnerable to Server-Side Request Forgery (SSRF) in versions up to and including 1.7.9. This allows an attacker to make requests from the server to arbitrary resources, potentially leading to unauthorized access to internal systems.

W podatności CVE-2025-22725 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Stored XSS w wtyczce WP Virtual Assistant. Problem ten dotyczy wersji WP Virtual Assistant od n/a do 3.1 włącznie.

W systemie WP Attractive Donations System - Easy Stripe & Paypal donations występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.25 włącznie.

W podatności CVE-2025-22713 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce vanquish WooCommerce Orders & Customers Exporter. Problem dotyczy wersji wtyczki od n/a do 5.4 włącznie.

W podatności CVE-2025-22712 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Typify od n/a do 3.0.2.

W podatności CVE-2025-22708 występuje niewłaściwa kontrola nazw plików w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Mitech od n/a do 2.3.4.