Katalog podatności CVE

W podatności CVE-2025-58214 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co umożliwia lokalne dołączenie pliku. Problem ten dotyczy wersji Indutri od n/a do poniżej 1.3.0.

Podatność CVE-2025-58206 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem ten dotyczy wersji MaxCoach od n/a do 3.2.5.

W podatności CVE-2025-57889 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP w RealMag777 InPost Gallery. Problem dotyczy wersji InPost Gallery od n/a do 2.1.4.5 włącznie.

W podatności CVE-2025-53307 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Beaver Builder WordPress Assistant, co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji WordPress Assistant od n/a do 1.5.2.

Podatność związana z nieprawidłowym przypisaniem uprawnień w wtyczce smart SEO od axiomthemes umożliwia eskalację uprawnień. Problem dotyczy wersji smart SEO od n/a do 4.0 włącznie.

Podatność typu Path Traversal w wtyczce WooCommerce Payment Gateway for Saferpay pozwala na nieautoryzowany dostęp do plików systemowych. Dotyczy to wersji od n/a do 0.4.9.

Podatność typu Cross-Site Request Forgery (CSRF) w odtwarzaczu muzyki Floating Window Music Player pozwala na przeprowadzenie ataku typu Stored XSS. Problem dotyczy wersji od n/a do 3.4.2 włącznie.

W systemie Portabilis i-Educar do wersji 2.10 występuje podatność polegająca na niewłaściwej kontroli dostępu w pliku /exportacao-para-o-seb. Manipulacja prowadzi do nieautoryzowanego dostępu.

W wersjach ScienceLogic SL1 przed 12.1.1 występuje podatność na SQL Injection poprzez parametr w żądaniu. Dostawca kwestionuje ten opis, twierdząc, że 'niedokładnie opisuje podatność'.

W Portabilis i-Educar do wersji 2.10 wykryto podatność polegającą na manipulacji argumentem ref_cod_aluno w pliku educar_historico_escolar_lst.php, co prowadzi do wstrzyknięcia SQL. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 rozwiązuje problem.

Podatność CVE-2025-8695 dotyczy serwera NetGIS, gdzie niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji NetGIS Server od 5.2.4 do 22.08.2025.

W podatności CVE-2025-58881 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce New Simple Gallery w wersjach od n/a do 8.0.

Wtyczka StoryMap (wp-storymap) jest podatna na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka dotyczy wersji od n/a do <= 2.1.

Podatność typu Stored XSS w wtyczce Pushe Web Push Notification do wersji 0.5.0 włącznie. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce WP Corner Quick Event Calendar umożliwia wykonanie ataku typu Stored XSS. Problem dotyczy wersji Quick Event Calendar od n/a do 1.4.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Enable Latex od KaizenCoders umożliwia przeprowadzenie ataku typu Stored XSS. Problem ten dotyczy wersji Enable Latex od n/a do 1.2.16 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Add to Feedly pozwala na wykonanie ataku typu Stored XSS. Problem dotyczy wersji Add to Feedly od n/a do 1.2.11 włącznie.

Podatność CVE-2025-58857 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w module Table of content w wersjach od n/a do 1.5.3.1. Umożliwia to atakującym wstrzykiwanie złośliwego kodu JavaScript, który może być wykonany w przeglądarkach użytkowników.

Podatność CVE-2025-58855 dotyczy niewłaściwej neutralizacji elementów formuły w pliku CSV w wtyczce AP HoneyPot dla WordPressa, co umożliwia atak typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.4 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Ultimate AJAX Login autorstwa Samera Bechara umożliwia wystąpienie odzwierciedlonego ataku XSS. Problem ten dotyczy wersji wtyczki od n/a do 1.2.1 włącznie.