Katalog podatności CVE

W podatności CVE-2025-67943 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce My auctions allegro w wersjach od n/a do 3.6.32. Problem ten umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika.

W podatności CVE-2025-67941 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Elated-Themes The Aisle w wersjach poniżej 2.9.1. Problem ten może umożliwić atakującym dostęp do wrażliwych danych na serwerze.

Podatność CVE-2025-67940 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Powerlift. Problem ten dotyczy wersji Powerlift od n/a do poniżej 3.2.1.

W podatności CVE-2025-67938 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie Mikado-Themes Biagiotti. Problem ten dotyczy wersji Biagiotti od n/a do poniżej 3.5.2.

Podatność CVE-2025-67923 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Crocoblock JetEngine, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji JetEngine od n/a do 3.7.7.

W podatności CVE-2025-67620 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w CleverSoft Anon anon2x, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji Anon od n/a do 2.2.10 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce Kids Heaven pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Kids Heaven od n/a do 3.2 włącznie.

Podatność CVE-2025-67617 dotyczy deserializacji niezaufanych danych w aplikacji Consult Aid, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Consult Aid od n/a do 1.4.3 włącznie.

W podatności CVE-2025-67616 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w motywie BZOTheme Mella. Problem dotyczy wersji Mella od n/a do 1.2.29 włącznie.

W podatności CVE-2025-67615 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku. Problem dotyczy wersji Myour od n/a do 1.5.1.

W podatności CVE-2025-67614 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy wersji TheNa od n/a do 1.5.5 włącznie.

Funkcja orjson.dumps w orjson do wersji 3.11.4 nie ogranicza rekurencji dla głęboko zagnieżdżonych dokumentów JSON, co może prowadzić do problemów z wydajnością lub przepełnienia stosu.

Wtyczka WerkStatt w programie PHP ma podatność na lokalne włączenie pliku z powodu niewłaściwej kontroli nazwy pliku w instrukcji Include/Require. Problem ten dotyczy wersji wtyczki od n/a do 1.6.6.

Podatność CVE-2025-62056 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce News Event w blazethemes. Problem ten występuje w wersjach od n/a do 1.0.1 włącznie.

Podatność CVE-2025-62050 dotyczy nieograniczonego przesyłania plików o niebezpiecznych typach w systemie Blogmatic. Problem ten występuje w wersjach od n/a do 1.0.3 włącznie.

W bibliotece Apryse HTML2PDF SDK do wersji 11.6.0 wykryto podatności Local File Inclusion (LFI) i Server-Side Request Forgery (SSRF) w funkcji InsertFromHtmlString(). Umożliwiają one atakującemu odczyt lokalnych plików na serwerze oraz wykonywanie dowolnych żądań HTTP do usług wewnętrznych lub zewnętrznych.

W podatności CVE-2025-54003 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy wersji Depot od n/a do 1.16 włącznie.

Podatność CVE-2025-53240 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WordPress Photo Gallery. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 1.1.0.

Podatność CVE-2025-52762 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w flexo-posts-manager w wersjach od n/a do 1.0001.

W podatności CVE-2025-52746 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w aplikacji ayecode Restaurante, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Problem ten dotyczy wersji Restaurante od n/a do 3.0.7 włącznie.