Katalog podatności CVE

Podatność związana z deserializacją niezaufanych danych w wtyczce WC Price History for Omnibus umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji wtyczki od n/a do 2.1.4 włącznie.

W podatności CVE-2025-22508 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wtyczki FAT Event Lite w wersjach od n/a do 1.1.

W podatności CVE-2025-22505 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w wtyczce NC Wishlist dla Woocommerce w wersjach od n/a do 1.0.1. Problem ten może umożliwić atakującym manipulację bazą danych aplikacji.

Podatność CVE-2025-22361 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Opentracker Analytics, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Opentracker Analytics od n/a do 1.3 włącznie.

Podatność CVE-2025-22345 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bazie danych TS Comfort DB. Problem ten dotyczy wersji od n/a do 2.0.7 włącznie.

Podatność CVE-2025-22331 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w rozszerzeniu Cf7Save. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z tej wtyczki.

W podatności CVE-2025-22330 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w MG Parallax Slider, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji MG Parallax Slider od n/a do 1.0 włącznie.

Podatność CVE-2025-22313 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Widgetize Pages Light, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten występuje w wersjach od n/a do 3.0 włącznie.

W podatności CVE-2025-22307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Product Table for WooCommerce, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 4.0.3 włącznie.

Podatność CVE-2025-22295 dotyczy wtyczki Tripetto do WordPressa, która umożliwia przechowywanie ataków typu Cross-site Scripting (XSS). Problem występuje w wersjach od n/a do 8.0.6 wtyczki do tworzenia formularzy kontaktowych, ankiet i quizów.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień stosowanej przez niektórych dostawców DDS.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień przez niektórych dostawców DDS.

Atakujący może dowolnie stworzyć złośliwych uczestników DDS (lub węzłów ROS 2) z ważnymi certyfikatami, aby przejąć pełną kontrolę nad zaatakowanym systemem bezpiecznego databus DDS. Problem wynika z niezgodnej implementacji weryfikacji dokumentów uprawnień przez niektórych dostawców DDS.

Wtyczka SKT Page Builder dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku weryfikacji uprawnień w funkcji 'addLibraryByArchive' we wszystkich wersjach do 4.6 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, przesyłanie dowolnych plików, co może prowadzić do zdalnego wykonania kodu.

Wtyczka linkID dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień przy wywoływaniu funkcji 'phpinfo' we wszystkich wersjach do 0.1.2 włącznie. Umożliwia to nieautoryzowanym atakującym odczyt ustawień konfiguracyjnych i zdefiniowanych zmiennych na serwerze witryny.

Wtyczka WP Database Backup – Unlimited Database & Files Backup by Backup for WP dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 7.3 poprzez publicznie dostępne pliki kopii zapasowej. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym wszystkich informacji przechowywanych w bazie danych.

Skrypt CGI <redacted>.sh może być użyty do pobrania dowolnego pliku z systemu plików. Problem ten dotyczy oprogramowania układowego Iocharger dla ładowarek modelu AC przed wersją 24120701.

Po uzyskaniu dostępu do oprogramowania układowego stacji ładowania, można uzyskać dostęp do pliku, który zawiera domyślne dane logowania, identyczne dla wszystkich ładowarek EV modelu Iocharger AC. Problem dotyczy oprogramowania układowego Iocharger dla modeli AC przed wersją 25010801.

Podatność typu 'Command Injection' w oprogramowaniu Iocharger dla ładowarek AC przed wersją 24120701 pozwala na wykonanie poleceń systemowych jako użytkownik root. Atakujący musi posiadać konto o niskich uprawnieniach, aby uzyskać dostęp do pliku CGI action.exe i przesłać zmodyfikowany plik firmware.

Podatność CVE-2024-43656 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach, co prowadzi do możliwości wstrzyknięcia poleceń systemowych jako użytkownik root. Problem ten występuje w oprogramowaniu układowym Iocharger dla ładowarek modelu AC przed wersją 24120701.