CVE Vulnerability Catalog

W podatności CVE-2025-58214 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączenie pliku. Problem ten dotyczy wersji Indutri od n/a do poniżej 1.3.0.

Podatność CVE-2025-58206 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji MaxCoach od n/a do 3.2.5.

W podatności CVE-2025-57889 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RealMag777 InPost Gallery. Problem dotyczy wersji InPost Gallery od n/a do 2.1.4.5 włącznie.

W podatności CVE-2025-53307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Beaver Builder WordPress Assistant, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji WordPress Assistant od n/a do 1.5.2.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce smart SEO od axiomthemes umożliwia eskalację uprawnień. Problem dotyczy wersji smart SEO od n/a do 4.0 włącznie.

Podatność typu Path Traversal w wtyczce WooCommerce Payment Gateway for Saferpay pozwala na nieautoryzowany dostęp do plików systemowych. Dotyczy to wersji od n/a do 0.4.9.

Podatność typu Cross-Site Request Forgery (CSRF) w odtwarzaczu muzyki Floating Window Music Player pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 3.4.2 włącznie.

Portabilis i-Educar up to 2.10 has an improper access control vulnerability in /exportacao-para-o-seb. Manipulation results in unauthorized access.

W wersjach ScienceLogic SL1 przed 12.1.1 występuje podatność na SQL Injection poprzez parametr w żądaniu. Dostawca kwestionuje ten opis, twierdząc, że 'niedokładnie opisuje podatność'.

A security vulnerability has been detected in Portabilis i-Educar up to 2.10. Manipulation of the ref_cod_aluno argument in educar_historico_escolar_lst.php leads to SQL injection. The attack can be executed remotely and the exploit has been publicly disclosed. Upgrading to version 2.12 resolves the issue.

Podatność CVE-2025-8695 dotyczy serwera NetGIS, gdzie niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji NetGIS Server od 5.2.4 do 22.08.2025.

W podatności CVE-2025-58881 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce New Simple Gallery w wersjach od n/a do 8.0.

The StoryMap plugin (wp-storymap) is vulnerable to DOM-Based XSS due to improper neutralization of input during web page generation. This issue affects versions from n/a through <= 2.1.

Stored XSS vulnerability in Pushe Web Push Notification plugin up to version 0.5.0. Improper input neutralization during web page generation allows persistent injection of malicious scripts.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Corner Quick Event Calendar umożliwia wykonanie ataku typu Stored XSS. Problem dotyczy wersji Quick Event Calendar od n/a do 1.4.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Enable Latex od KaizenCoders umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Enable Latex od n/a do 1.2.16 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Add to Feedly pozwala na wykonanie ataku typu Stored XSS. Problem dotyczy wersji Add to Feedly od n/a do 1.2.11 włącznie.

Podatność CVE-2025-58857 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w module Table of content w wersjach od n/a do 1.5.3.1. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript, który może być wykonany w przeglądarkach użytkowników.

Podatność CVE-2025-58855 dotyczy niewłaściwej neutralizacji elementów formuły w pliku CSV w wtyczce AP HoneyPot dla WordPressa, co umożliwia atak typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Ultimate AJAX Login autorstwa Samera Bechara umożliwia wystąpienie odzwierciedlonego ataku XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.2.1 włącznie.