Katalog podatności CVE

Wtyczka Dynamic User Directory (dynamic-user-directory) zawiera podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron), umożliwiającą trwałe XSS. Problem dotyczy wersji od n/a do <= 2.3.

Wtyczka WP Gravity Forms Zoho CRM and Bigin firmy CRM Perks zawiera podatność otwartego przekierowania URL, umożliwiającą phishing. Problem dotyczy wersji do 1.2.8 włącznie.

Wtyczka Persian Admnin Fonts firmy MDZ zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.1.03 włącznie.

Podatność wtyczki ACF to REST API (acf-to-rest-api) w wersjach do 3.3.4 włącznie. Wysyłane dane zawierają wrażliwe informacje, co umożliwia ich odzyskanie przez nieuprawnione osoby.

Wtyczka KiotViet Sync dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji od n/a do 1.8.5 włącznie.

Wtyczka 百度站长SEO合集 (baiduseo) zawiera lukę braku autoryzacji, która pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL). Problem dotyczy wersji do 2.1.4 włącznie.

Wtyczka Sendle Shipping (oficjalna metoda wysyłki) dla WordPressa ma podatność na brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Problem dotyczy wersji do 6.02 włącznie.

Podatność typu Stored XSS w Headline Analyzer (headline-analyzer) autorstwa CoSchedule. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 1.3.7 włącznie.

BuddyForms (wtyczka Themekraft) do wersji 2.10.2 zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Atakujący może wykorzystać to do nieautoryzowanych operacji.

Wtyczka WebinarPress (wp-webinarsystem) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do <= 1.33.28.

Podatność typu Stored XSS w Attesa Extra (attesa-extra) autorstwa CrestaProject. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 1.4.7 włącznie.

Wtyczka Link Whisper Free firmy Spencer Haws zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.9.2 włącznie.

Podatność typu Stored XSS w NextMove Lite (woo-thank-you-page-nextmove-lite) autorstwa XLPlugins. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 2.23.0 włącznie.

Podatność typu Stored XSS w WP Last Modified Info (wp-last-modified-info) autorstwa Sayan Datta. Problem wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Podatność występuje w wersjach od n/a do 1.9.2 włącznie.

Wtyczka DirectoryPress (directorypress) jest podatna na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka dotyczy wersji od n/a do <= 3.6.25.

Wtyczka GoCache dla WordPressa (wersje do 1.3.6 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieuwierzytelniony lub nisko uprawniony użytkownik może wykonać akcje, do których nie powinien mieć prawa.

Brak autoryzacji w wtyczce Admin Management Xtended dla WordPressa. Nieprawidłowo skonfigurowane poziomy bezpieczeństwa kontroli dostępu umożliwiają wykorzystanie.

Wtyczka MDTF (wp-meta-data-filter-and-taxonomy-filter) dla WordPressa w wersjach do 1.3.6 włącznie zawiera podatność Missing Authorization, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykonanie operacji bez wymaganych uprawnień.

Podatność typu Cross-Site Request Forgery (CSRF) w CloudSearch autorstwa Andrea Landonio umożliwia wykonanie ataku typu Stored XSS. Problem ten dotyczy wersji CloudSearch od n/a do 3.0.0 włącznie.

W podatności CVE-2025-62959 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w aplikacji videowhisper Paid Videochat Turnkey Site w wersjach od n/a do 7.3.23. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu na serwerze.