Katalog podatności CVE

W Ads by WPQuads występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Ads by WPQuads od n/a do 2.0.87.1.

W podatności CVE-2025-30835 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce Accounting for WooCommerce w wersjach od n/a do 1.6.8. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Wszystkie wersje urządzenia CHOCO TEI WATCHER mini (IB-MCT001) mają problem z uwierzytelnianiem po stronie klienta. W przypadku wykorzystania tej podatności, zdalny atakujący może uzyskać hasło logowania do produktu bez konieczności uwierzytelnienia.

Wtyczka Air Quotes dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do 0.1 włącznie. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem funkcji do_shortcode.

Wtyczka SoJ SoundSlides dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji soj_soundslides_options_subpanel() we wszystkich wersjach do i włącznie z 1.2.2. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Inline Image Upload dla BBPress w WordPressie jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji rozszerzeń plików w funkcji przesyłania. Dotyczy to wszystkich wersji do 1.1.19 włącznie, co pozwala na przesyłanie dowolnych plików przez uwierzytelnionych atakujących z dostępem na poziomie Subskrybenta i wyżej.

W aplikacji MISP przed wersją 2.4.193 w pliku app/Controller/Component/RestResponseComponent.php występuje brak sanitizacji odpowiedzi, które nie są w formacie JSON.

Erlang/OTP to zestaw bibliotek dla języka programowania Erlang. W wersjach wcześniejszych niż OTP-27.3.1, 26.2.5.10 i 25.3.2.19, złośliwie skonstruowana wiadomość KEX init może prowadzić do wysokiego zużycia pamięci, ponieważ implementacja nie weryfikuje limitów określonych w RFC dla nazw algorytmów (64 znaki).

W podatności CVE-2025-22767 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wtyczki GlobalPayments WooCommerce w wersjach od n/a do 1.13.2.

Podatność CVE-2025-22575 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce SUPER RESPONSIVE SLIDER, co pozwala na ataki typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.4 włącznie.

Podatność CVE-2025-22566 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce ULTIMATE VIDEO GALLERY, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.4 włącznie.

Podatność CVE-2025-22501 dotyczy niewłaściwej neutralizacji tagów HTML związanych z skryptami w aplikacji Improve My City, co prowadzi do podatności na ataki typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.6 włącznie.

Podatność CVE-2025-22360 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Azure offload w wersjach od n/a do 2.0. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w kontekście przeglądarki ofiary.

Podatność typu Cross-site Scripting (XSS) w Stencies pozwala na refleksyjne ataki XSS. Problem dotyczy wersji Stencies od n/a do 0.58 włącznie.

Podatność typu Path Traversal w aplikacji GetShop ecommerce umożliwia atakującym dostęp do plików poza zamierzonymi katalogami. Problem ten dotyczy wersji od n/a do 1.3 włącznie.

Podatność CVE-2024-54291 dotyczy wtyczki PluginPass, która pozwala na manipulację wejściem sieciowym do wywołań systemowych plików poprzez niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu. Problem ten występuje w wersjach od n/a do 0.9.10 włącznie.

W podatności CVE-2024-51624 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Já-Já Pagamentos dla WooCommerce. Problem dotyczy wersji od n/a do 1.3.0 włącznie.

W podatności CVE-2025-31466 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do ataku typu Blind SQL Injection w wtyczce Duplicate Page and Post w wersjach od n/a do 1.0. Problem ten może umożliwić atakującym dostęp do wrażliwych danych w bazie danych.

W podatności CVE-2025-31460 występuje problem Cross-Site Request Forgery (CSRF) w menedżerze skryptów i tagów OmniLeads, który umożliwia przechowywanie ataków XSS. Dotyczy to wersji menedżera od n/a do 1.3.

W podatności CVE-2025-31459 występuje atak typu Cross-Site Request Forgery (CSRF) w wtyczce Login Alert, który umożliwia przechowywanie ataków XSS. Problem dotyczy wersji wtyczki od n/a do 0.2.1 włącznie.