CVE Vulnerability Catalog

Podatność CVE-2025-39410 dotyczy deserializacji niezaufanych danych w dodatku Smart Sections Theme Builder dla WPBakery Page Builder. Problem ten występuje w wersjach od n/a do 1.7.8.

Podatność CVE-2025-39409 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WordPress Video Robot - The Ultimate Video Importer. Problem ten występuje w wersjach od n/a do 1.20.0.

Podatność CVE-2025-39407 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Memberpress, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach przed 1.12.0.

W podatności CVE-2025-39406 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku PHP w systemie mojoomla WPAMS do zarządzania mieszkaniami. Problem dotyczy wersji WPAMS od n/a do 44.0 włącznie.

Podatność związana z nieprawidłowym przypisaniem uprawnień w systemie mojoomla WPAMS do zarządzania mieszkaniami umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPAMS od n/a do 44.0 włącznie (17-08-2023).

W podatności CVE-2025-39403 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie zarządzania mieszkaniami WPAMS. Problem dotyczy wersji WPAMS od n/a do 44.0 włącznie (17-08-2023).

Podatność CVE-2025-47582 dotyczy deserializacji niezaufanych danych w wtyczce WPBot Pro dla WordPressa, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WPBot Pro od n/a do 12.7.0.

W systemie zarządzania zewnętrznymi wpisami DNS Gardener przed wersją 0.23.6 odkryto podatność, która może umożliwić użytkownikowi z uprawnieniami administracyjnymi do projektu Gardener lub klastra shoot przejęcie kontroli nad klastrem seed, w którym zarządzany jest klaster shoot. Podatność ta dotyczy wszystkich instalacji Gardener, niezależnie od używanego dostawcy chmury publicznej.

Podatność typu Cross-Site Request Forgery (CSRF) w narzędziu CheckBot umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji CheckBot od n/a do 1.05 włącznie.

W podatności CVE-2025-43833 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce Absolute Links w wersjach od n/a do 1.1.1. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

W podatności CVE-2025-39396 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Crocoblock JetReviews. Problem dotyczy wersji JetReviews od n/a do 2.3.6 włącznie.

Podatność typu Path Traversal w bslthemes Tastyc pozwala na lokalne włączenie plików PHP. Problem ten dotyczy wersji Tastyc od n/a do poniżej 2.5.2.

Podatność CVE-2025-26997 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Wireless Butler, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 1.0.11 włącznie.

Podatność CVE-2025-26892 w dkszone Celestial Aura umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na wykorzystanie złośliwych plików. Problem dotyczy wersji Celestial Aura od n/a do 2.2.

Podatność CVE-2025-26872 w dkszone Eximius umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na wykorzystanie złośliwych plików. Problem dotyczy wersji Eximius od n/a do 2.2.

Podatność CVE-2025-26735 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywach Candid Grip w wersjach od n/a do 1.0.9.

A flaw was found in the cookie parsing logic of the libsoup HTTP library, used in GNOME applications and other software. The vulnerability arises when processing the expiration date of cookies, where a specially crafted value can trigger an integer overflow. This may result in undefined behavior, allowing an attacker to bypass cookie expiration logic, causing persistent or unintended cookie behavior.

W podatności CVE-2025-47576 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia pliku. Problem dotyczy motywu Bimber - Viral Magazine w wersjach od n/a do 9.2.5.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Best Posts Summary (od n/a do wersji 1.0) umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wtyczki Best Posts Summary.

W bibliotece iCafe występuje podatność na wstrzykiwanie SQL z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji biblioteki iCafe od n/a do 1.8.3 włącznie.