CVE Vulnerability Catalog

Server-Side Request Forgery (SSRF) vulnerability in Icegram Icegram Express Pro email-subscribers-premium allows Server Side Request Forgery. This issue affects Icegram Express Pro: from n/a through <= 5.9.5.

Wielowarstwowa podatność związana z brakiem autoryzacji w MultiVendorX dc-woocommerce-multi-vendor pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem ten dotyczy wersji MultiVendorX od n/a do 4.2.23.

Podatność CVE-2025-49915 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia kodu SQL w aplikacji Cozy Vision SMS Alert Order Notifications w wersjach od n/a do 3.8.5. Wykorzystanie tej luki może umożliwić atakującym manipulację bazą danych.

The Email Subscription Popup plugin (versions up to and including 1.2.26) is vulnerable to stored cross-site scripting (XSS) due to improper neutralization of input during web page generation. Malicious code can be stored and executed by users viewing the page.

Podatność CVE-2025-49911 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WooCommerce Vehicle Parts Finder, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.7 włącznie.

W WPGuppy wpguppy-lite występuje luka związana z brakiem autoryzacji, która pozwala na dostęp do funkcjonalności, która nie jest odpowiednio ograniczona przez listy kontroli dostępu (ACL). Problem dotyczy wersji WPGuppy od n/a do 1.1.4 włącznie.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WPClever WPC Countdown Timer for WooCommerce allows Stored XSS. This issue affects WPC Countdown Timer for WooCommerce from n/a through <= 3.1.4.

The MDTF plugin up to version 1.3.3.9 has a missing authorization vulnerability, allowing exploitation of incorrectly configured access control security levels. This enables unauthorized access to functionality.

The WPComplete plugin has a missing authorization vulnerability, allowing access to functionality not properly constrained by ACLs. Affects versions up to and including 2.9.5.3.

The ZoloBlocks plugin up to version 2.3.11 has a missing authorization vulnerability, allowing exploitation of incorrectly configured access control security levels. This enables unauthorized access to functionality.

Podatność CVE-2025-49901 dotyczy mechanizmu uwierzytelniania w Simple Link Directory w quantumcloud, który pozwala na obejście uwierzytelnienia poprzez alternatywną ścieżkę lub kanał. Problem ten dotyczy wersji Simple Link Directory od n/a do poniżej 14.8.1.

Missing Authorization vulnerability in jjlemstra Whydonate wp-whydonate allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects Whydonate: from n/a through <= 4.0.15.

Podatność CVE-2025-49380 dotyczy deserializacji niezaufanych danych w wtyczce wpinstinct WooCommerce Vehicle Parts Finder, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 3.7 włącznie.

W podatności CVE-2025-49378 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji Themefic Hydra Booking. Problem ten dotyczy wersji Hydra Booking od n/a do 1.1.10 włącznie.

The Hydra Booking plugin for Themefic has a missing authorization vulnerability, allowing exploitation of incorrectly configured access control security levels. This affects versions up to and including 1.1.9.

The DELUCKS SEO WordPress plugin (versions up to 2.5.9) has a missing authorization vulnerability, allowing access to functionality not properly constrained by ACLs. This may allow unauthorized actions.

Podatność CVE-2025-49060 w CMSSuperHeroes Wastia umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem dotyczy wersji Wastia od n/a do poniżej 1.1.3.

Podatność CVE-2025-48338 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten występuje w wtyczce WP Abstracts w wersjach od n/a do 2.7.4.

Podatność CVE-2025-48106 w CMSSuperHeroes Clanora umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na wykorzystanie złośliwych plików. Problem dotyczy wersji Clanora od n/a do poniżej 1.3.1.

The Code Amp Search & Filter plugin (search-filter) up to version 1.2.17 is vulnerable to Cross-Site Request Forgery (CSRF).