Katalog podatności CVE

Podatność powoduje uszkodzenie pamięci podczas przetwarzania sesji wideo w celu ustawienia parametrów wideo. Może to prowadzić do nieoczekiwanego zachowania systemu lub potencjalnego wykonania kodu.

Podatność powoduje uszkodzenie pamięci podczas deinicjalizacji sesji HDCP. Problem może prowadzić do nieoczekiwanego zachowania systemu lub awarii.

Podatność CVE-2025-32300 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w DZS Video Gallery, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji DZS Video Gallery od n/a do 12.25.

Podatność związana z nieprawidłowym przypisaniem uprawnień w Dasinfomedia WPCHURCH umożliwia eskalację uprawnień. Problem ten dotyczy wersji WPCHURCH od n/a do 2.7.0.

W routerze TRENDnet TEW-811DRU w wersji 1.0.2.0 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Problem dotyczy funkcji setDeviceURL w pliku uapply.cgi w komponencie httpd. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Wtyczka WP Enable WebP dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewłaściwej walidacji typu pliku w funkcji 'wpse_file_and_ext_webp' we wszystkich wersjach do 1.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Autora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP Photo Album Plus dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting poprzez parametr 'shortcode' we wszystkich wersjach do 9.1.05.008 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach.

Wtyczka Frontend File Manager dla WordPressa w wersjach przed 23.5 nie weryfikowała parametru ścieżki oraz właściciela pliku, co umożliwiało każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, usuwanie dowolnych plików na serwerze.

Wtyczka Reviewify dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'send_test_email' we wszystkich wersjach do 1.0.7 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Co-Author i wyżej tworzenie dowolnych kuponów rabatowych WooCommerce.

Wtyczka Yoco Payments dla WordPressa jest podatna na atak typu Path Traversal we wszystkich wersjach do 3.9.0 włącznie, poprzez parametr pliku. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, co może zawierać wrażliwe informacje.

Wtyczka Latest Registered Users dla WordPressa jest podatna na nieautoryzowany eksport danych użytkowników we wszystkich wersjach do i włącznie z 1.4. Problem wynika z braku autoryzacji i walidacji nonce w funkcji rnd_handle_form_submit.

Wtyczka MoneySpace dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.13.9 włącznie. Problem polega na tym, że wtyczka przechowuje pełne dane karty płatniczej w post_meta WordPressa i osadza je w publicznie dostępnym kodzie JavaScript bez żadnej weryfikacji tożsamości.

Wtyczka User Activity Log jest podatna na ograniczoną aktualizację opcji w wersjach do 2.2 włącznie. Handler nieudanych logowań 'ual_shook_wp_login_failed' nie sprawdza uprawnień i zapisuje nieudane nazwy użytkowników bezpośrednio w wywołaniach update_option().

Podatność CVE-2025-31642 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WPCHURCH, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WPCHURCH od n/a do 2.7.0.

Podatność CVE-2025-30631 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczkach AA-Team Woocommerce Sales Funnel Builder oraz AA-Team Amazon Affiliates Addon dla WPBakery Page Builder. Problem ten dotyczy wersji Woocommerce Sales Funnel Builder od n/a do 1.1 oraz Amazon Affiliates Addon od n/a do 1.2.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczkach AA-Team Premium Age Verification / Restriction oraz AA-Team Responsive Coming Soon Landing Page dla WordPress umożliwia eskalację uprawnień. Problem dotyczy wersji Premium Age Verification / Restriction dla WordPress od n/a do 3.0.2 oraz Responsive Coming Soon Landing Page od n/a do 3.0.

W podatności CVE-2025-32304 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki WPCHURCH w wersjach od n/a do 2.7.0.

W bibliotece wolfSSH wykryto podatność polegającą na odczycie poza zakresem pamięci sterty w funkcji wolfSSH_CleanPath(). Zdalny, uwierzytelniony atakujący może wywołać ten problem, wysyłając spreparowaną ścieżkę SCP zawierającą sekwencje '/./', co prowadzi do odczytu o 1 bajt poza przydzielonym buforem.

W podatności CVE-2025-69356 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy elementów motywu TheGem (dla Elementor) w wersjach od n/a do 5.11.0.

W podatności CVE-2025-69351 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Ninja Tables w wersjach od n/a do 5.2.4.