Katalog podatności CVE

Wtyczka AI Chatbot Free Models dla WordPressa jest podatna na wstrzykiwanie CSV we wszystkich wersjach do 1.6.5 włącznie. Wynika to z niedostatecznej sanityzacji w funkcji 'newcodebyte_chatbot_export_messages'. Umożliwia to nieuwierzytelnionym atakującym osadzenie niezaufanych danych w eksportowanych plikach CSV, co może prowadzić do wykonania kodu po pobraniu i otwarciu tych plików na lokalnym systemie z podatną konfiguracją.

W jądrze Linux w module IPVS (IP Virtual Server) wykryto podatność use-after-free (UAF) w funkcji __ip_vs_ftp_exit() podczas czyszczenia sieciowego przestrzeni nazw (netns). Problem polega na tym, że __ip_vs_ftp_exit() może wyrejestrować ip_vs_ftp przed opróżnieniem połączeń z prawidłowymi wskaźnikami cp->app, co prowadzi do UAF. Poprawka wprowadza flagę exiting_module, która opóźnia wyrejestrowanie ip_vs_ftp podczas czyszczenia netns do momentu opróżnienia wszystkich połączeń.

Wtyczka Popup builder z funkcjami gamifikacji, wieloetapowych popupów, targetowania na poziomie strony oraz wyzwalaczy WooCommerce dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 2.1.4. Problem wynika z niewystarczającej walidacji adresów URL dostarczanych przez parametr URL.

Wtyczka WordPress Real Cookie Banner: GDPR & ePrivacy Cookie Consent do wersji 5.2.4 jest podatna na Server-Side Request Forgery (SSRF) w punkcie końcowym REST API '/scanner/scan-without-login'. Niedostateczna walidacja adresu URL podanego przez użytkownika pozwala uwierzytelnionemu atakującemu z uprawnieniami administratora na wysyłanie żądań do dowolnych lokalizacji i modyfikację informacji z usług wewnętrznych.

Wtyczka ZoloBlocks – Gutenberg Block Editor Plugin with Advanced Blocks, Dynamic Content, Templates & Patterns dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji update_popup_status() we wszystkich wersjach do 2.3.11 włącznie. Dzięki temu nieuwierzytelnieni atakujący mogą włączać lub wyłączać wyskakujące okna.

OpenVPN w wersjach od 2.7_alpha1 do 2.7_beta1 na platformach opartych na POSIX umożliwia zdalnie uwierzytelnionemu serwerowi wstrzykiwanie poleceń powłoki za pomocą zmiennych DNS, gdy używana jest opcja --dns-updown.

Wtyczka Simple Excel Pricelist dla WooCommerce jest podatna na przechowywany atak XSS poprzez shortcode 'pricelist' we wszystkich wersjach do 1.13 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia na atrybutach dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka Disable Content Editor For Specific Template dla WordPress jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.0 włącznie. Brak walidacji nonce przy aktualizacji konfiguracji szablonu umożliwia nieuwierzytelnionym atakującym dodawanie lub usuwanie konfiguracji szablonów poprzez spreparowane żądanie, jeśli uda im się nakłonić administratora do wykonania akcji, np. kliknięcia linku.

Wtyczka IndieAuth dla WordPressa jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 4.5.4 włącznie. Problem wynika z braku weryfikacji nonce w funkcji `login_form_indieauth()` oraz na punkcie autoryzacji w wp-login.php?action=indieauth.

Wtyczka VNPAY Payment gateway dla WordPressa w wersjach do 1.0.0 włącznie jest podatna na odbity XSS (Reflected Cross-Site Scripting) poprzez parametr 'message' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli użytkownik zostanie nakłoniony do kliknięcia linku.

Wtyczka qnotsquiz dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametr 'qnotsquiz_custom_start_text' we wszystkich wersjach do 1.0.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka NGINX Cache Optimizer dla WordPressa (wszystkie wersje do 1.1 włącznie) jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'nginxcacheoptimizer-blacklist-update'. Uwierzytelniony atakujący z poziomem dostępu Subscriber lub wyższym może dodawać adresy URL do ustawienia Exclude URLs From Dynamic Caching.

Wtyczka Multi Item Responsive Slider dla WordPress jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.0 włącznie, z powodu braku lub nieprawidłowej walidacji nonce na stronie 'mioptions.php'. Nieuwierzytelniony atakujący może zaktualizować ustawienia i wstrzyknąć złośliwe skrypty internetowe poprzez sfałszowane żądanie, jeśli uda mu się nakłonić administratora witryny do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka AIO Forms – Craft Complex Forms Easily dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcjonalności importu we wszystkich wersjach do i włącznie z 1.3.18. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Supervisor dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w kilku funkcjach AJAX we wszystkich wersjach do 1.3.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej aktualizację różnych ustawień wtyczki.

Wtyczka Quickcreator – AI Blog Writer dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach od 0.0.9 do 0.1.17 poprzez plik /wp-content/plugins/quickcreator/dupasrala.txt. Umożliwia to nieautoryzowanym atakującym przeglądanie klucza API wtyczki, co pozwala na wykonywanie działań na stronie, takich jak tworzenie nowych postów i wstrzykiwanie ładunków XSS.

Wtyczka LLM Hubspot Blog Import dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'process_save_blogs' we wszystkich wersjach do 1.0.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym wyzwolenie importu wszystkich danych Hubspot.

W podatności CVE-2025-11253 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie Netty ERP przed wersją 1.1000.

Wtyczka Check Plagiarism dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji chk_plag_mine_plugin_wpse10500_admin_action() we wszystkich wersjach do 2.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyżej aktualizację klucza API.

Wtyczka Originality.ai AI Checker dla WordPressa jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcji 'ai_scan_result_remove' we wszystkich wersjach do 1.0.15 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta (Subscriber) i wyższym mogą usunąć wszystkie dane z tabeli bazy danych wp_originalityai_log, w tym tytuły postów, wyniki skanów, zużyte kredyty i inne dane.