Katalog podatności CVE

W podatności CVE-2025-32304 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten dotyczy wtyczki WPCHURCH w wersjach od n/a do 2.7.0.

W bibliotece wolfSSH wykryto podatność polegającą na odczycie poza zakresem pamięci sterty w funkcji wolfSSH_CleanPath(). Zdalny, uwierzytelniony atakujący może wywołać ten problem, wysyłając spreparowaną ścieżkę SCP zawierającą sekwencje '/./', co prowadzi do odczytu o 1 bajt poza przydzielonym buforem.

Maszyna stanowa wymiany kluczy w wolfSSH może być manipulowana w celu ujawnienia hasła klienta w postaci jawnej, nakłonienia klienta do wysłania fałszywego podpisu lub pominięcia uwierzytelniania użytkownika. Dotyczy to aplikacji klienckich z wolfSSH w wersji 1.4.21 i wcześniejszych.

Wtyczka Breeze dla WordPressa (Cloudways) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Breeze od n/a do 2.2.21 włącznie.

Wtyczka Responsive Addons for Elementor zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.8 włącznie.

Wtyczka UiChemy dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 4.4.2 włącznie.

Wtyczka Post Expirator (do wersji 4.9.3 włącznie) zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Wtyczka TheGem Theme Elements (dla WPBakery) jest podatna na DOM-Based XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 5.11.0 włącznie.

Wtyczka Creator LMS (WPFunnels) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Creator LMS od n/a do 1.1.12 włącznie.

Wtyczka TheGem Theme Elements (dla Elementor) jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 5.11.0 włącznie.

W podatności CVE-2025-69356 występuje niewłaściwa kontrola nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem dotyczy elementów motywu TheGem (dla Elementor) w wersjach od n/a do 5.11.0.

W wtyczce Better Business Reviews (od BBR Plugins) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.1 włącznie.

Wtyczka The Events Calendar (the-events-calendar) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 6.15.12.2 włącznie.

W podatności CVE-2025-69351 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce Ninja Tables w wersjach od n/a do 5.2.4.

Podatność typu Stored XSS w wtyczce Accordion (Themepoints) do wersji 3.0.3 włącznie. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka RSS Feed Widget (rss-feed-widget) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.0.2 włącznie.

W dodatku The Events Calendar Countdown Addon (od CoolHappy) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.4.15 włącznie.

Wtyczka AffiliateX dla WordPressa (wersje do 1.3.9.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.

Brak autoryzacji w wtyczce Post and Page Builder by BoldGrid (wersje do 1.27.9) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W podatności CVE-2025-69342 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co pozwala na lokalne włączenie plików. Problem dotyczy wersji Calafate od n/a do 1.7.7.