Katalog podatności CVE

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Varnish WordPress (wersje od n/a do 1.7) umożliwia atakującym przeprowadzanie nieautoryzowanych żądań w imieniu zalogowanych użytkowników.

Podatność CVE-2025-31615 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Simple Contact Forms, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.6.4 włącznie.

W podatności CVE-2025-31613 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce AB Google Map Travel, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji wtyczki od n/a do 4.6 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Leadfox dla WordPressa umożliwia atak CSRF. Problem ten dotyczy wersji Leadfox dla WordPressa od n/a do 2.1.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Copy Media URL autorstwa Ashisha Ajani umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 2.1 włącznie.

Podatność CSRF w wtyczce wp-buy Related Posts Widget with Thumbnails umożliwia przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji wtyczki od n/a do 1.2 włącznie.

Wtyczka wp-buy do WordPressa zawiera podatność typu Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 3.0.0.1.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Rio Video Gallery umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Rio Video Gallery od n/a do 2.3.6 włącznie.

Wtyczka Uptime Robot dla WordPressa zawiera podatność na wstrzykiwanie SQL z powodu niewłaściwego neutralizowania specjalnych elementów używanych w poleceniach SQL. Problem ten dotyczy wersji wtyczki od n/a do 2.3.

W podatności CVE-2025-31542 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce My auctions allegro w wersjach od n/a do 3.6.20.

W podatności CVE-2025-31526 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w menedżerze portfela Behance. Problem dotyczy wersji menedżera portfela Behance od n/a do 1.7.5 włącznie.

W usłudze OpenShift Lightspeed znaleziono lukę, która jest podatna na zalewanie nieautoryzowanymi żądaniami API. Powtarzające się zapytania do nieistniejących punktów końcowych powodują nadmierne zużycie zasobów, co może prowadzić do degradacji systemu monitorowania oraz potencjalnej niedostępności usługi.

Podatność CVE-2025-23995 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Tantyyellow, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.0.0.5.

W podatności CVE-2025-31387 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wersji InstaWP Connect od n/a do 0.1.0.82.

W podatności CVE-2025-31016 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w Crocoblock JetWooBuilder. Problem dotyczy wersji JetWooBuilder od n/a do 2.1.18.

W Ads by WPQuads występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Ads by WPQuads od n/a do 2.0.87.1.

W podatności CVE-2025-30835 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w wtyczce Accounting for WooCommerce w wersjach od n/a do 1.6.8. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Wszystkie wersje urządzenia CHOCO TEI WATCHER mini (IB-MCT001) mają problem z uwierzytelnianiem po stronie klienta. W przypadku wykorzystania tej podatności, zdalny atakujący może uzyskać hasło logowania do produktu bez konieczności uwierzytelnienia.

Wtyczka Air Quotes dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do 0.1 włącznie. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem funkcji do_shortcode.

Wtyczka SoJ SoundSlides dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji soj_soundslides_options_subpanel() we wszystkich wersjach do i włącznie z 1.2.2. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.