Katalog podatności CVE

W systemie Lumsoft ERP 8 odkryto krytyczną podatność, która dotyczy nieznanej funkcjonalności pliku /Api/TinyMce/UploadAjaxAPI.ashx w komponencie ASPX File Handler. Manipulacja argumentem 'file' prowadzi do nieograniczonego przesyłania plików.

Wykryto podatność na niewłaściwą walidację danych wejściowych w polu konfiguracji serwera NTP karty Network-M2. Może to pozwolić uwierzytelnionemu użytkownikowi z wysokimi uprawnieniami na wykonywanie dowolnych poleceń.

Podatność CSRF w wtyczce Woocommerce – Loi Hamon umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.1.0.

Podatność CVE-2025-27352 dotyczy wtyczki 无觅相关文章插件 wumii-related-posts, która pozwala na przeprowadzenie ataku typu Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do 1.0.5.7.

Podatność typu Cross-Site Request Forgery (CSRF) w gmnazmul Smart Maintenance & Countdown umożliwia przeprowadzenie ataku Stored XSS. Problem ten dotyczy wersji Smart Maintenance & Countdown od n/a do 1.2 włącznie.

W Blighty Blightly Explorer występuje podatność na Cross-Site Request Forgery (CSRF), która umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Blightly Explorer od n/a do 2.3.0 włącznie.

W podatności CVE-2025-27312 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Sitemap w wersjach od n/a do 1.0.

Podatność na deserializację niezaufanych danych w menedżerze tabeli opcji NHR pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji menedżera tabeli opcji NHR od n/a do 1.1.2.

Podatność na deserializację niezaufanych danych w giuliopanda ADFO admin-form umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji ADFO od n/a do 1.9.1 włącznie.

W podatności CVE-2025-27298 występuje problem Cross-Site Request Forgery (CSRF) w wtyczce WP Video Posts, który umożliwia wstrzyknięcie poleceń systemowych. Dotyczy to wersji WP Video Posts od n/a do 3.5.1 włącznie.

W podatności CVE-2025-27297 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Bravo Search & Replace. Problem dotyczy wersji od n/a do 1.0 włącznie.

W podatności CVE-2025-27296 występuje brak autoryzacji w wtyczce revenueflex Auto Ad Inserter, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem ten dotyczy wersji wtyczki od n/a do 1.5.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Add Linked Images To Gallery w wersjach od n/a do 1.4 umożliwia atak CSRF. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

W podatności CVE-2025-27276 występuje problem Cross-Site Request Forgery (CSRF) w galerii zdjęć lizeipe (Responsive), który umożliwia eskalację uprawnień. Problem ten dotyczy wersji galerii zdjęć (Responsive) od n/a do 4.0 włącznie.

W podatności CVE-2025-27272 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wtyczki VG PostCarousel w wersjach od n/a do 1.1.

W podatności CVE-2024-12918 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Agito Computer Health4All. Problem ten dotyczy wersji przed 10.01.2025.

W podatności CVE-2024-12917 w systemie Agito Computer Health4All występuje problem z dostępem do plików lub katalogów przez osoby trzecie, spowodowany błędnie skonfigurowanymi poziomami kontroli dostępu oraz nadużyciem uwierzytelniania. Problem ten dotyczy wersji przed 10.01.2025.

W podatności CVE-2024-12916 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Agito Computer Life4All. Problem ten dotyczy wersji Life4All przed 10.01.2025.

Podatność CVE-2025-22635 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Eventer od imithemes, co prowadzi do możliwości ataków typu Reflected XSS. Problem ten dotyczy wersji Eventer od n/a do poniżej 3.9.9.

W podatności CVE-2025-22632 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce WooCommerce Pricing – Product Pricing. Problem dotyczy wersji wtyczki od n/a do 1.0.9.