CVE Vulnerability Catalog

Podatność CVE-2025-32202 dotyczy wtyczki 'Insert or Embed Articulate Content into WordPress', która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.

Podatność CVE-2025-32160 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości zdalnego dołączania plików. Problem ten występuje w wtyczce EventON w wersjach od n/a do 2.4.1.

Podatność CVE-2025-32158 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w aThemes Addons for Elementor w wersjach od n/a do 1.1.3.

Podatność CVE-2025-32145 dotyczy deserializacji niezaufanych danych w wtyczce WpEvently dla systemu WordPress, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WpEvently od n/a do 4.3.6 włącznie.

Podatność CVE-2025-32140 dotyczy wtyczki WP Remote Thumbnail, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2025-32128 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL w aplikacji Nearby Locations, co umożliwia atak typu SQL Injection. Problem ten występuje w wersjach od n/a do 1.1.1 włącznie.

Podatność CVE-2025-32119 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce CardGate Payments dla WooCommerce. Problem ten dotyczy wersji od n/a do 3.2.1.

Podatność CVE-2025-32116 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Studi7 QR Master. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.0.5.

Podatność CVE-2025-32115 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w motywie Popping Content Light, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 2.4 włącznie.

Wtyczka 5-sterrenspecialist dla WordPressa zawiera podatność na atak typu Cross-site Scripting (XSS) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji wtyczki od n/a do 1.4.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce WP User Profiles pozwala na eskalację uprawnień. Problem ten dotyczy wersji WP User Profiles od n/a do 2.6.2 włącznie.

W podatności CVE-2025-30582 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu, co prowadzi do ataku typu 'Path Traversal' w systemie DyaPress ERP/CRM. Problem ten dotyczy wersji DyaPress ERP/CRM od n/a do 18.0.2.0 włącznie.

Wtyczka Embedder dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji ajax_set_global_option() w wersjach od 1.3 do 1.3.5. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.

Wtyczka azurecurve Shortcodes in Comments dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do i włącznie z 2.0.2. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem funkcji do_shortcode.

Wtyczka ORDER POST dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do i włącznie z 2.0.2. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.

Wtyczka SureTriggers: All-in-One Automation Platform dla WordPressa jest podatna na obejście uwierzytelnienia, co prowadzi do możliwości tworzenia kont administracyjnych. Problem wynika z braku sprawdzenia pustej wartości w parametrze 'secret_key' w funkcji 'authenticate_user' we wszystkich wersjach do 1.0.78 włącznie.

W podatności CVE-2025-32695 występuje nieprawidłowe przypisanie uprawnień w wtyczce Mestres do WP Checkout, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 8.7.5.

W podatności CVE-2025-32692 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce WP Shuffle WP Subscription Forms w wersjach od n/a do 1.2.4.

W podatności CVE-2025-32685 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Inquiries w Aristo Rinjuang. Problem dotyczy wersji WP Inquiries od n/a do 0.2.1 włącznie.