Katalog podatności CVE

Wtyczka WP Delicious – Recipe Plugin dla blogerów kulinarnych jest podatna na nieautoryzowane przesyłanie plików podczas importowania przepisów z pliku CSV w wersjach do 1.9.0 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Contributor może przesłać złośliwy plik PHP, co prowadzi do zdalnego wykonania kodu (RCE).

Wtyczka Advanced Ads – Ad Manager & AdSense dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 2.0.12 włącznie, poprzez funkcję select_one(). Problem wynika z niewłaściwego ograniczenia dostępu do punktu końcowego AJAX oraz braku ograniczenia wywoływanych funkcji do bezpiecznych.

Wtyczka Service Finder Bookings dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 6.0. Problem wynika z niewłaściwej walidacji tożsamości użytkownika przed przetworzeniem żądania zmiany hasła.

Wtyczka Community Events dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr szczegółów wydarzenia we wszystkich wersjach do i włącznie z 1.5.2, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka WPCOM Member dla WordPressa jest podatna na atak typu Local File Inclusion we wszystkich wersjach do 1.7.14 włącznie, poprzez parametr action w jednym z jej shortcode'ów. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej do dołączenia i wykonania dowolnych plików .php na serwerze.

ELOG pozwala uwierzytelnionemu użytkownikowi na modyfikację lub nadpisanie pliku konfiguracyjnego, co prowadzi do odmowy usługi. Jeśli funkcja wykonywania jest włączona za pomocą flagi wiersza poleceń '-x', atakujący mogą wykonywać polecenia systemowe na maszynie gospodarza.

Na kliencie z użytkownikiem administracyjnym można zaimplementować skrypt Global_Shipping. Skrypt ten może być później wykonany na serwerze BRAIN2 z uprawnieniami administratora.

Podczas korzystania z użytkowników domenowych jako użytkowników BRAIN2, komunikacja z usługami Active Directory jest niezaszyfrowana. Może to prowadzić do przechwycenia danych uwierzytelniających i naruszenia poufności.

Serwis Bizerba Communication Server (BCS) ma niecytowaną ścieżkę do usługi. W wyniku sposobu, w jaki system Windows wyszukuje plik wykonywalny dla usługi BCS, mogą być uruchamiane złośliwe programy.

Agno to framework wieloagentowy, który w wersjach od 2.0.0 do przed 2.2.2 może doświadczać warunków wyścigu. W sytuacjach o wysokiej współbieżności, przekazanie session_state do Agenta lub Zespołu podczas wywołań run lub arun może prowadzić do przypisania i zapisania session_state do niewłaściwej sesji.

Podatność na przejęcie biblioteki DLL w Trimble SketchUp Desktop 2025 umożliwia atakującemu wykonanie złośliwego kodu poprzez spreparowany plik libcef.dll używany przez proces sketchup_webhelper.exe.

Przepełnienie całkowitej liczby w GameMaker IDE w wersjach poniżej 2024.14.0 może prowadzić do awarii aplikacji w wyniku ataków typu denial-of-service (DoS). Użytkownicy GameMaker, którzy korzystają z funkcji network_create_server() w swoich projektach, powinni natychmiast zaktualizować i ponownie skompilować swoje aplikacje.

W systemie zarządzania nauką MasterStudy LMS występuje podatność na SQL Injection, która pozwala na przeprowadzenie ataku typu Blind SQL Injection. Problem ten dotyczy wersji od n/a do 3.6.27 włącznie.

Podatność CVE-2025-64364 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji Masterstudy od n/a do poniżej 4.8.126.

W podatności CVE-2025-64363 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Kleo od n/a do poniżej 5.5.0.

W podatności CVE-2025-64360 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia plików PHP w wtyczce Consulting Elementor Widgets w wersjach od n/a do 1.4.2.

W podatności CVE-2025-64359 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne włączenie pliku. Problem dotyczy wersji Consulting od n/a do poniżej 6.7.5.

Podatność na deserializację niezaufanych danych w Chouby Polylang umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Polylang od n/a do 3.7.3 włącznie.

Wtyczka WPC Name Your Price dla WooCommerce w WordPressie jest podatna na nieautoryzowaną zmianę ceny we wszystkich wersjach do 2.1.9 włącznie. Problem wynika z braku zablokowania możliwości podawania niestandardowej ceny, nawet gdy została ona wyłączona dla danego produktu.

Podatność CVE-2025-30189 występuje, gdy włączono pamięć podręczną, a niektóre sterowniki passdb/userdb błędnie przechowują wszystkich użytkowników z tym samym kluczem pamięci podręcznej. Skutkuje to używaniem niewłaściwych informacji dla tych użytkowników po zalogowaniu.