Katalog podatności CVE

Wtyczka DethemeKit For Elementor dla WordPressa zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do <= 2.1.10.

Wtyczka WordPress WP Social Widget do wersji 2.3.1 zawiera podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce ofiary.

Podatność typu Stored XSS w wtyczce AuthorSure (wersje do 2.3) spowodowana niewłaściwą neutralizacją danych wejściowych. Umożliwia trwałe wstrzyknięcie skryptu, który wykona się w przeglądarce ofiary.

Wtyczka Flexible PDF Invoices dla WooCommerce i WordPress zawiera podatność na atak Cross-Site Request Forgery (CSRF), co pozwala na nieautoryzowane działania w imieniu użytkownika. Problem dotyczy wersji od n/a do 6.0.13.

Wtyczka Helpdesk Support Ticket System for WooCommerce od WPFactory jest podatna na brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.1.1 włącznie.

Podatność CVE-2025-57968 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w VikRestaurants, co prowadzi do ataków typu Reflected XSS. Problem ten występuje w wersjach od n/a do 1.5 włącznie.

Wtyczka Library Bookshelves (do wersji 5.11) zawiera podatność na trwały XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Zoho Billing (do wersji 4.1) zawiera podatność na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Emergency Password Reset (emergency-password-reset) jest podatna na Cross-Site Request Forgery. Luka dotyczy wersji od n/a do <= 9.3.

Wtyczka WPeMatico RSS Feed Fetcher firmy etruel jest podatna na ujawnienie poufnych informacji systemowych nieuprawnionemu podmiotowi. Podatność występuje w wersjach od n/a do 2.8.10 włącznie i pozwala na odczytanie osadzonych poufnych danych.

Wtyczka Bot Block – Stop Spam Referrals in Google Analytics ma podatność Stored XSS polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2.6 włącznie.

Wtyczka Piotnet Forms do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wszystkich wersji do 1.0.30 włącznie.

Wtyczka Double the Donation ma podatność Stored XSS polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2.0.0 włącznie.

W podatności CVE-2025-57925 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy wersji immonex Kickstart Team od n/a do 1.6.9.

Podatność CVE-2025-57919 dotyczy deserializacji niezaufanych danych w ConveyThis, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji ConveyThis od n/a do 269.1 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w ERA404 LinkedInclude umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji LinkedInclude od n/a do 3.0.4 włącznie.

Wtyczka AnyClip Luminous Studio (anyclip-media) zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.3.3.

Wtyczka Epeken All Kurir do WordPressa jest podatna na atak typu Stored XSS (Cross-Site Scripting) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 2.0.6 włącznie.

Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.

Routery LB-Link, w tym modele BL-AC2100_AZ3 V1.0.4, BL-WR4000 v2.5.0, BL-WR9000_AE4 v2.4.9, BL-AC1900_AZ2 v1.0.2, BL-X26_AC8 v1.2.8 i BL-LTE300_DA4 V1.2.3, są podatne na nieautoryzowane wstrzykiwanie komend. Atakujący mogą wykorzystać interfejs /goform/set_serial_cfg, aby uzyskać najwyższy poziom uprawnień urządzenia bez autoryzacji i zdalnie wykonywać złośliwe polecenia.