Katalog podatności CVE

W podatności CVE-2025-62956 występuje problem Cross-Site Request Forgery (CSRF) w iseremet Reloadly reloadly-topup-widget, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Reloadly od n/a do 2.0.1 włącznie.

W podatności CVE-2025-62945 występuje problem Cross-Site Request Forgery (CSRF) w Did Prestashop Display, który umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Did Prestashop Display od n/a do 1.0.30 włącznie.

Wtyczka WP Business Hours w wersjach od n/a do 1.4 zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia atak typu Stored XSS. Problem ten może prowadzić do nieautoryzowanego wykonania kodu na stronie.

W podatności CVE-2025-62933 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce Prakash Awesome Testimonials, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji wtyczki od n/a do 2.2.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w formularzu kontaktowym Multilang Contact Form umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji formularza od n/a do 1.5 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w narzędziu do budowy tabel cenowych wpdevart Pricing Table umożliwia przechowywanie ataków XSS. Problem dotyczy wersji narzędzia od n/a do 1.5.3 włącznie.

W repozytorium langchain-ai/langchain występuje podatność na wstrzykiwanie SQL, szczególnie w implementacji SQLite w LangGraph. Problem dotyczy wersji langgraph-checkpoint-sqlite 2.0.10 i wynika z niewłaściwego przetwarzania operatorów filtrów, co umożliwia atakującym wstrzykiwanie dowolnego SQL.

Wtyczka Stripe Payment Forms od WP Full Pay, służąca do akceptacji płatności kartą kredytową, darowizn i subskrypcji w WordPressie, jest podatna na atak typu SQL Injection poprzez parametr 'wpfs-form-name' we wszystkich wersjach do i włącznie z 8.3.1. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Product Filter by WBW dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'filtersDataBackend' we wszystkich wersjach do i włącznie z 2.9.7. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka wpForo Forum dla WordPressa jest podatna na ataki typu SQL Injection, zarówno oparte na błędach, jak i czasie, poprzez funkcję get_members() we wszystkich wersjach do 2.4.8 włącznie. Problem wynika z braku walidacji całkowitych wartości dla parametrów 'offset' i 'row_count'.

Wtyczka Directorist: AI-Powered Business Directory Plugin z ogłoszeniami klasyfikowanymi dla WordPressa jest podatna na nieautoryzowane przenoszenie plików z powodu niewystarczającej walidacji ścieżek plików w akcji AJAX add_listing_action we wszystkich wersjach do 8.4.8 włącznie. Umożliwia to nieautoryzowanym atakującym przenoszenie dowolnych plików na serwerze.

Wtyczka Simple Registration dla WooCommerce w WordPressie jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 1.5.8. Problem wynika z braku walidacji nonce w obsłudze żądań ról na stronie administracyjnej.

Wtyczka Watu Quiz dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nagłówek HTTP Referer w wersjach mniejszych lub równych 3.4.4. Problem wynika z niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych, gdy opcja 'Zapisz adres URL źródła' jest włączona.

Uwierzytelniony administrator z dostępem do WebUI i interfejsu wiersza poleceń na Firebox może włączyć diagnostyczną powłokę debugowania poprzez przesłanie pakietu diagnostycznego specyficznego dla platformy i wersji oraz wykonanie pozostałego polecenia diagnostycznego.

Oprogramowanie do zarządzania projektami Plane przed wersją 1.1.0 zawierało podatność na otwarte przekierowanie w parametrze zapytania ?next_path, co umożliwiało atakującym wstrzykiwanie dowolnych schematów, takich jak javascript:. To prowadziło do podatności na ataki XSS, pozwalających na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

W PerfreeBlog w wersji 4.0.11 wykryto podatność na nieograniczone przesyłanie plików w funkcji installPlugin. Umożliwia to atakującemu wgranie złośliwego pliku na serwer.

W PerfreeBlog w wersji 4.0.11 wykryto podatność na niebezpieczne przesyłanie plików w funkcji installTheme. Luka ta umożliwia atakującemu wgranie złośliwego pliku na serwer.

W PerfreeBlog w wersji 4.0.11 wykryto podatność na dowolne usuwanie plików w funkcji unInstallTheme. Atakujący może wykorzystać tę lukę do usunięcia dowolnych plików na serwerze.

W podatności CVE-2025-11145 w oprogramowaniu EnVision firmy CBK Soft występuje problem z ujawnieniem wrażliwych informacji osobistych osobom nieuprawnionym. Umożliwia to atakującym zbieranie informacji o kontach użytkowników.

Funkcja Utils.deserialize w pgCodeKeeper w wersji 10.12.0 przetwarza zserializowane dane z nieufnych źródeł. Atakujący może dostarczyć specjalnie przygotowany plik .ser, co może prowadzić do niezamierzonego wykonania kodu lub innego złośliwego zachowania w systemie docelowym.