CVE Vulnerability Catalog

Podatność CVE-2025-22535 dotyczy wtyczki WPListCal w wersjach od n/a do 1.3.5, która jest podatna na atak typu SQL Injection z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL.

W podatności CVE-2025-22527 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Mailing Group Listserv. Problem dotyczy wersji od n/a do 2.0.9.

Podatność CVE-2025-22521 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce wp Hosting Performance Check w wersjach od n/a do 2.18.8. Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Podatność związana z deserializacją niezaufanych danych w wtyczce WC Price History for Omnibus umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji wtyczki od n/a do 2.1.4 włącznie.

W podatności CVE-2025-22508 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wtyczki FAT Event Lite w wersjach od n/a do 1.1.

W podatności CVE-2025-22505 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce NC Wishlist dla Woocommerce w wersjach od n/a do 1.0.1. Problem ten może umożliwić atakującym manipulację bazą danych aplikacji.

Podatność CVE-2025-22504 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w formularzach internetowych 4ECPS, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji 4ECPS Web Forms od n/a do 0.2.18 włącznie.

Podatność CVE-2025-22361 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Opentracker Analytics, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Opentracker Analytics od n/a do 1.3 włącznie.

Podatność CVE-2025-22345 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bazie danych TS Comfort DB. Problem ten dotyczy wersji od n/a do 2.0.7 włącznie.

Podatność CVE-2025-22331 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w rozszerzeniu Cf7Save. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z tej wtyczki.

W podatności CVE-2025-22330 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w MG Parallax Slider, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji MG Parallax Slider od n/a do 1.0 włącznie.

Podatność CVE-2025-22313 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Widgetize Pages Light, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.0 włącznie.

W podatności CVE-2025-22307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Product Table for WooCommerce, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 4.0.3 włącznie.

Podatność CVE-2025-22295 dotyczy wtyczki Tripetto do WordPressa, która umożliwia przechowywanie ataków typu Cross-site Scripting (XSS). Problem występuje w wersjach od n/a do 8.0.6 wtyczki do tworzenia formularzy kontaktowych, ankiet i quizów.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień stosowanej przez niektórych dostawców DDS.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień przez niektórych dostawców DDS.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień przez niektórych dostawców DDS.

Wtyczka SKT Page Builder dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku weryfikacji uprawnień w funkcji 'addLibraryByArchive' we wszystkich wersjach do 4.6 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, przesyłanie dowolnych plików, co może prowadzić do zdalnego wykonania kodu.

Wtyczka linkID dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień przy wywoływaniu funkcji 'phpinfo' we wszystkich wersjach do 0.1.2 włącznie. Umożliwia to nieautoryzowanym atakującym odczyt ustawień konfiguracyjnych i zdefiniowanych zmiennych na serwerze witryny.

Wtyczka WP Database Backup – Unlimited Database & Files Backup by Backup for WP dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 7.3 poprzez publicznie dostępne pliki kopii zapasowej. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym wszystkich informacji przechowywanych w bazie danych.