CVE Vulnerability Catalog

Podatność CVE-2025-22707 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w motywie ThemeMove Moody w wersjach od n/a do 2.7.3.

W podatności CVE-2025-22509 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne dołączanie plików. Problem ten dotyczy wersji Atlas od n/a do 2.1.0.

During SSH-based transfers using SCP or SFTP, when public key authentication is requested, curl incorrectly asks and authenticates using a locally running SSH agent.

When doing SSH-based transfers using either SCP or SFTP, and setting the known_hosts file, libcurl could still mistakenly accept connecting to hosts *not present* in the specified file if they were added as recognized in the libssh *global* known_hosts file.

The Gutenverse Form plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG file upload in all versions up to, and including, 2.3.2. The plugin's framework component adds SVG to allowed MIME types without sanitizing SVG contents, allowing authenticated attackers with Author-level access and above to upload malicious SVG files.

When doing TLS transfers with reused easy or multi handles and altering the CURLSSLOPT_NO_PARTIALCHAIN option, libcurl could accidentally reuse a cached CA store for which the partial chain option was reversed. Contrary to user expectations, libcurl could find and accept a trust chain it otherwise would not.

When an OAuth2 bearer token is used for an HTTP(S) transfer, and that transfer performs a cross-protocol redirect to a second URL that uses an IMAP, LDAP, POP3 or SMTP scheme, curl might wrongly pass on the bearer token to the new target host.

W podatności CVE-2025-14431 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji Navian od n/a do 1.5.4 włącznie.

W podatności CVE-2025-14430 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ThemeMove Brook. Problem dotyczy wersji Brook od n/a do 2.9.0.

W podatności CVE-2025-14429 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie AeroLand w wersjach od n/a do 1.6.6. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

W Kaira Blockons występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji Blockons od n/a do 1.2.19 włącznie.

Podatność CVE-2025-14359 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików w Oshine. Problem ten występuje w wersjach Oshine przed 7.3.0.

W frameworku REHub występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji frameworka od n/a do 19.9.5 włącznie.

When doing multi-threaded LDAPS transfers (LDAP over TLS) with libcurl, changing TLS options in one thread inadvertently changed them globally and could affect other concurrently set up transfers. Disabling certificate verification for a specific transfer could unintentionally disable the feature for other threads as well.

Podatność CVE-2025-13504 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce e-plugins Real Estate Pro, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Real Estate Pro od n/a do 2.1.4 włącznie.

When using the CURLOPT_PINNEDPUBLICKEY option with libcurl or --pinnedpubkey with the curl tool, curl should check the public key of the server certificate. This check was skipped under a certain condition, allowing the connection without proper verification and failing to notice a possible impostor. The condition required a QUIC connection with ngtcp2 built with GnuTLS and explicit disabling of standard certificate verification.

Podatność CVE-2025-12551 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w e-plugins ListingHub, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji ListingHub od n/a do 1.2.6.

W podatności CVE-2025-12550 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne włączenie pliku PHP. Problem dotyczy wersji OchaHouse od n/a do 2.2.8.

W podatności CVE-2025-12549 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w aplikacji Rozy - Flower Shop w wersjach do 1.2.25.

W systemie zarządzania członkostwem Intern Membership Management System 1.0 zidentyfikowano podatność. Manipulacja argumentem 'Username' w pliku /intern/admin/check_admin.php może prowadzić do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.