CVE Vulnerability Catalog

Podatność CVE-2025-23914 dotyczy deserializacji niezaufanych danych w Muzaara Google Ads Report, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Muzaara Google Ads Report od n/a do 3.1 włącznie.

W podatności CVE-2025-23809 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w widżecie Blue Wrench Video. Problem dotyczy wersji widżetu od n/a do 2.1.0 włącznie.

Początkowy kod analizujący manifest nie sprawdzał zawartości nazw plików, a późniejszy kod zakładał, że zostało to zweryfikowane, co prowadziło do paniki przy napotkaniu nielegalnych znaków, skutkując awarią Routinatora.

A stored cross-site scripting (XSS) vulnerability in Umbraco CMS v14.3.1 allows attackers to execute arbitrary web scripts or HTML via a crafted payload. NOTE: This has been disputed by the vendor since this potential attack is only possible via authenticated users who have been manually allowed access to the CMS. There was a deliberate decision made not to apply HTML sanitization at the product level.

W oprogramowaniu Synnefo Internet Management Software (IMS) w wersji 2023 i wcześniejszych występuje podatność na wstrzykiwanie SQL. Problem ten wynika z niewłaściwej walidacji danych wejściowych w określonym parametrze punktu końcowego API, co pozwala atakującemu manipulować zapytaniami SQL za pomocą spreparowanego wejścia.

W podatności CVE-2025-23966 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bramce płatności dla Banku Pasargad na WooCommerce. Problem dotyczy wersji od n/a do 2.5.2.

Podatność CVE-2025-23959 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Good Old Gallery, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.1.2 włącznie.

Podatność CVE-2025-23953 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Scriptonite, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy plików użytkowników w wersjach od n/a do 2.4.2.

Podatność CVE-2025-23949 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten występuje w wersji Improved Sale Badges – Free Version od n/a do 1.0.1.

Podatność CVE-2025-23948 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten występuje w wtyczce Background animation blocks w wersjach od n/a do 2.1.5.

Podatność CVE-2025-23944 dotyczy deserializacji niezaufanych danych w wtyczce bulktheme WOOEXIM, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji WOOEXIM od n/a do 5.0.0 włącznie.

Podatność CVE-2025-23942 dotyczy wtyczki WP Load Gallery, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych zagrożeń bezpieczeństwa.

W podatności CVE-2025-23938 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy wtyczki Image Gallery Box by CRUDLab w wersjach od n/a do 1.0.3.

Podatność CVE-2025-23932 dotyczy deserializacji niezaufanych danych w Marko-M Quick Count, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Quick Count od n/a do 3.00 włącznie.

W podatności CVE-2025-23931 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WordPress Local SEO w wersjach od n/a do 2.3.

Podatność CVE-2025-23921 dotyczy Multi Uploader dla Gravity Forms, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami. W wyniku tego atakujący może przesłać powłokę sieciową na serwer WWW.

Podatność CVE-2025-23918 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w przeglądarce plików Smallerik. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2025-23910 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w wtyczce Menus Plus+. Problem ten dotyczy wersji Menus Plus+: od n/a do 1.9.6 włącznie.

Podatność CVE-2025-23882 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Download Codes w wersjach od n/a do 2.5.4. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-23874 dotyczy niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych w WP Block Pack, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WP Block Pack od n/a do 1.1.6 włącznie.