CVE Vulnerability Catalog

W podatności CVE-2025-28993 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w aplikacji Content No Cache w wersjach od n/a do 0.1.4. Problem ten może zostać wykorzystany przez atakujących do wstrzykiwania złośliwego kodu.

W podatności CVE-2025-28990 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie SNS Vicky w wersjach do 3.7. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność CVE-2025-28988 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Front User Submit / Front Editor. Problem ten występuje w wersjach od n/a do 4.9.3 włącznie.

Podatność CVE-2025-28970 dotyczy deserializacji niezaufanych danych w wtyczce WP Optimize By xTraffic, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 5.1.6 włącznie.

Podatność CVE-2025-28960 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w aplikacji Evangelische Termine w wersjach od n/a do 3.3. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu.

Podatność CVE-2025-28956 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Backwp, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach Backwp od n/a do 2.0.2.

W podatności CVE-2025-28947 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie MBStore - Digital WooCommerce WordPress. Problem dotyczy wersji motywu od n/a do 2.3 włącznie.

W podatności CVE-2025-28946 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie pliku. Problem dotyczy wersji PrintXtore od n/a do poniżej 1.7.8.

Podatność CVE-2025-27361 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Photo Express for Google, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 0.3.2 włącznie.

W podatności CVE-2025-25173 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w systemie rezerwacji FastBook. Problem ten dotyczy wersji FastBook od n/a do 1.1 włącznie.

Podatność CVE-2025-25171 dotyczy WP SmartPay, umożliwiając obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 2.7.13 włącznie.

W podatności CVE-2025-24774 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce mojoomla WPCRM - CRM dla formularza kontaktowego CF7 i WooCommerce. Problem dotyczy wersji WPCRM od n/a do 3.2.0 włącznie.

W podatności CVE-2025-24769 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP w BZOTheme Zenny w wersjach od n/a do 1.7.5. Problem ten może prowadzić do nieautoryzowanego dostępu do plików na serwerze.

W podatności CVE-2025-24765 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w aplikacji RobMarsh Image Shadow. Problem ten dotyczy wersji Image Shadow od n/a do 1.1.0 włącznie.

W podatności CVE-2025-24760 występuje niewłaściwa kontrola nazwy pliku w instrukcji include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Sofass. Problem dotyczy wersji Sofass od n/a do 1.3.4 włącznie.

W podatności CVE-2025-23973 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce SpecFit-Virtual Try On dla WooCommerce. Problem dotyczy wersji od n/a do 8.0.3.

Wtyczka GG Bought Together dla WooCommerce zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji od n/a do 1.0.2.

W podatności CVE-2023-25998 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Samex - Clean, Minimal Shop WooCommerce dla WordPressa. Problem dotyczy wersji motywu od n/a do 2.6.

A critical vulnerability was found in Kingdee Cloud-Starry-Sky Enterprise Edition versions 6.x/7.x/8.x/9.0. The issue affects the function plugin.buildMobilePopHtml in the file DynamicForm 4 Action.class of the Freemarker Engine component, leading to improper neutralization of special elements used in a template engine.

Motyw DWT - Directory & Listing dla WordPressa jest podatny na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 3.3.6 włącznie. Problem wynika z braku odpowiedniego sprawdzenia pustej wartości tokena przed zresetowaniem hasła użytkownika w funkcji dwt_listing_reset_password().