Katalog podatności CVE

Podatność CVE-2025-23914 dotyczy deserializacji niezaufanych danych w Muzaara Google Ads Report, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Muzaara Google Ads Report od n/a do 3.1 włącznie.

W podatności CVE-2025-23809 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w widżecie Blue Wrench Video. Problem dotyczy wersji widżetu od n/a do 2.1.0 włącznie.

Początkowy kod analizujący manifest nie sprawdzał zawartości nazw plików, a późniejszy kod zakładał, że zostało to zweryfikowane, co prowadziło do paniki przy napotkaniu nielegalnych znaków, skutkując awarią Routinatora.

W systemie Umbraco CMS w wersji 14.3.1 wykryto podatność na trwały atak XSS, umożliwiającą atakującemu wykonanie dowolnego skryptu lub kodu HTML poprzez spreparowany ładunek. Należy jednak zaznaczyć, że producent kwestionuje to zgłoszenie, argumentując, że atak jest możliwy tylko dla uwierzytelnionych użytkowników z ręcznie przyznanym dostępem do CMS, a decyzja o braku sanitacji HTML była celowa.

W oprogramowaniu Synnefo Internet Management Software (IMS) w wersji 2023 i wcześniejszych występuje podatność na wstrzykiwanie SQL. Problem ten wynika z niewłaściwej walidacji danych wejściowych w określonym parametrze punktu końcowego API, co pozwala atakującemu manipulować zapytaniami SQL za pomocą spreparowanego wejścia.

W podatności CVE-2025-23966 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w bramce płatności dla Banku Pasargad na WooCommerce. Problem dotyczy wersji od n/a do 2.5.2.

Podatność CVE-2025-23959 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji Good Old Gallery, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 2.1.2 włącznie.

Podatność CVE-2025-23953 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w Scriptonite, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy plików użytkowników w wersjach od n/a do 2.4.2.

Podatność CVE-2025-23949 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia pliku PHP. Problem ten występuje w wersji Improved Sale Badges – Free Version od n/a do 1.0.1.

Podatność CVE-2025-23948 dotyczy niewłaściwej kontroli nazw plików w instrukcjach include/require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem ten występuje w wtyczce Background animation blocks w wersjach od n/a do 2.1.5.

Podatność CVE-2025-23944 dotyczy deserializacji niezaufanych danych w wtyczce bulktheme WOOEXIM, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji WOOEXIM od n/a do 5.0.0 włącznie.

Podatność CVE-2025-23942 dotyczy wtyczki WP Load Gallery, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych zagrożeń bezpieczeństwa.

W podatności CVE-2025-23938 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy wtyczki Image Gallery Box by CRUDLab w wersjach od n/a do 1.0.3.

Podatność CVE-2025-23932 dotyczy deserializacji niezaufanych danych w Marko-M Quick Count, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Quick Count od n/a do 3.00 włącznie.

W podatności CVE-2025-23931 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WordPress Local SEO w wersjach od n/a do 2.3.

Podatność CVE-2025-23921 dotyczy Multi Uploader dla Gravity Forms, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami. W wyniku tego atakujący może przesłać powłokę sieciową na serwer WWW.

Podatność CVE-2025-23918 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w przeglądarce plików Smallerik. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Podatność CVE-2025-23910 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w wtyczce Menus Plus+. Problem ten dotyczy wersji Menus Plus+: od n/a do 1.9.6 włącznie.

Podatność CVE-2025-23882 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Download Codes w wersjach od n/a do 2.5.4. Atakujący może wykorzystać tę lukę do wykonania złośliwego kodu w przeglądarkach użytkowników.

Podatność CVE-2025-23874 dotyczy niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych w WP Block Pack, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji WP Block Pack od n/a do 1.1.6 włącznie.