CVE Vulnerability Catalog

Podatność na deserializację niezaufanych danych w ThemeMakers Visual Content Composer umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.5.8 włącznie.

Podatność CVE-2025-53226 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Comments Capcha Box w wersjach od n/a do 1.1. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność CVE-2025-53213 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce ELEXtensions ReachShip WooCommerce Multi-Carrier & Conditional Shipping. Umożliwia to wykorzystanie złośliwych plików przez atakujących.

Podatność CVE-2025-53212 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w odtwarzaczu wideo Revolution Video Player With Bottom Playlist, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.9.2 włącznie.

W podatności CVE-2025-53210 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w ZoloBlocks. Problem dotyczy wersji ZoloBlocks od n/a do 2.3.2 włącznie.

Podatność CVE-2025-53208 dotyczy systemu paymaya-checkout-for-woocommerce, w którym występuje możliwość ominięcia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem ten pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

W podatności CVE-2025-53207 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy wtyczki WP Travel Gutenberg Blocks w wersjach od n/a do 3.9.0.

W podatności CVE-2025-53205 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w odtwarzaczu radiowym Shoutcast i Icecast w wersjach do 4.4.7. Problem ten dotyczy komponentu lbg-audio4-html5-shoutcast.

W podatności CVE-2025-53204 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem ten dotyczy wersji eventlist od n/a do 1.9.2.

W podatności CVE-2025-53201 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w NooTheme Jobmonster, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Jobmonster od n/a do 4.7.8 włącznie.

Podatność CVE-2025-53198 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten występuje w motywie Houzez w wersjach od n/a do 4.0.4.

Podatność na deserializację niezaufanych danych w Crocoblock JetEngine (wersje do 3.7.0) umożliwia wstrzykiwanie kodu. Problem ten dotyczy wszystkich wersji od n/a do 3.7.0.

W podatności CVE-2025-49894 występuje nieprawidłowa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączanie plików. Problem dotyczy wersji Nuss od n/a do 1.3.3 włącznie.

Podatność CVE-2025-49893 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie uxper Nuss, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Nuss od n/a do 1.3.3 włącznie.

W podatności CVE-2025-49892 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy Uxper Booking w wersjach od n/a do 1.3.3.

W podatności CVE-2025-49891 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w systemie Uxper Booking. Problem dotyczy wersji Uxper Booking od n/a do 1.3.3 włącznie.

Podatność CVE-2025-49890 dotyczy deserializacji niezaufanych danych w wtyczce ThemeREX Organic Beauty, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Organic Beauty od n/a do 1.4.6.

W podatności CVE-2025-49889 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego dołączenia pliku. Problem ten dotyczy wtyczki Edge CPT w wersjach od n/a do 1.4 włącznie.

Podatność CVE-2025-49438 dotyczy deserializacji niezaufanych danych w Simple Login Log, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Simple Login Log od n/a do 1.1.3.

W podatności CVE-2025-49436 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku w CocoBasic Anotte w wersjach od n/a do 1.8. Problem ten może prowadzić do nieautoryzowanego dostępu do plików systemowych.