CVE Vulnerability Catalog

W podatności CVE-2025-31459 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Login Alert, który umożliwia przechowywanie ataków XSS. Problem dotyczy wersji wtyczki od n/a do 0.2.1 włącznie.

W podatności CVE-2025-31458 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Video Embedder, który umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.7.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w EricH The Visitor Counter umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji The Visitor Counter od n/a do 1.4.3 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w youtag ShowTime Slideshow umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji ShowTime Slideshow od n/a do 1.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w aplikacji Krzysztofa Furtaka 'KK I Like It' umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji aplikacji od n/a do 1.7.5.3 włącznie.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce Strategy11 Team Terms of Use w wersji od n/a do 2.0 umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy funkcjonalności warunków użytkowania.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Efficient Scripts Microblog Poster umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Microblog Poster od n/a do 2.1.6 włącznie.

Podatność CVE-2025-31432 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji Pop-Up Chop Chop od n/a do 2.1.7 włącznie.

Wtyczka Administrator Z dla WordPressa jest podatna na nieautoryzowaną modyfikację danych, co może prowadzić do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w funkcji adminz_import_backup() we wszystkich wersjach do 2025.03.24. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Subskrybenta i wyżej, aktualizację dowolnych opcji na stronie WordPress.

Podatność CVE-2025-31102 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Bob Hostel, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Hostel od n/a do 1.1.5.5 włącznie.

W podatności CVE-2025-31099 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Slider by BestWebSoft w wersjach od n/a do 1.1.0.

W urządzeniach HGW-BL1500HM w wersji 002.002.003 i wcześniejszych występuje problem z nieprawidłowym ograniczeniem ścieżki do zastrzeżonego katalogu ('Path Traversal') w procesie usuwania plików w funkcji udostępniania plików z pamięci USB. Wykorzystanie tej podatności może pozwolić atakującemu na usunięcie pliku z urządzenia lub spowodowanie stanu odmowy usługi (DoS).

W procesie przesyłania plików przez funkcję udostępniania plików z pamięci USB w urządzeniu HGW-BL1500HM w wersji 002.002.003 i wcześniejszych występuje problem z niewłaściwym ograniczeniem ścieżki do zastrzeżonego katalogu ('Path Traversal'). Wykorzystanie tej podatności może prowadzić do uzyskania lub modyfikacji plików urządzenia oraz wykonania dowolnego kodu za pomocą odpowiednio skonstruowanego żądania HTTP.

Wtyczka Kubio AI Page Builder dla WordPressa jest podatna na atak Local File Inclusion we wszystkich wersjach do 2.5.1 włącznie, poprzez funkcję thekubio_hybrid_theme_load_template. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików na serwerze.

Data::Entropy dla Perla w wersji 0.007 i wcześniejszych używa funkcji rand() jako domyślnego źródła entropii, co nie jest kryptograficznie bezpieczne dla funkcji kryptograficznych.

W podatności CVE-2025-26956 występuje brak autoryzacji w wtyczce Traveler od shinetheme. Problem ten dotyczy wersji Traveler od n/a do poniżej 3.2.1.

Podatność CVE-2025-26898 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Traveler. Problem ten dotyczy wersji Traveler od n/a do poniżej 3.2.1.

W podatności CVE-2025-26890 występuje niewłaściwe kontrolowanie nazw plików w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku PHP. Problem dotyczy wtyczki HUSKY w wersjach od n/a do 1.3.6.4.

W podatności CVE-2025-26874 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji MemberSpace od n/a do 2.1.13 włącznie.

Podatność CVE-2025-26873 dotyczy deserializacji niezaufanych danych w wtyczce Traveler od shinetheme. Problem ten występuje w wersjach Traveler od n/a do poniżej 3.2.1.