Katalog podatności CVE

W Jantent w wersji 1.1 występuje nieprawidłowa kontrola dostępu, która pozwala atakującym na ominięcie uwierzytelnienia i dostęp do wrażliwych interfejsów API bez tokena.

W oficjalnym pakiecie źródłowym ProFTPD 1.3.3c, dystrybuowanym między 28 listopada a 2 grudnia 2010 roku, umieszczono złośliwe backdoory. Backdoor implementuje ukryte polecenie FTP, które po wywołaniu pozwala na zdalne wykonanie dowolnych poleceń systemowych z uprawnieniami roota.

W podatności CVE-2025-54726 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce jquery-archive-list-widget. Problem dotyczy wersji JS Archive List od n/a do poniżej 6.1.6.

Podatność CVE-2025-54713 dotyczy menedżera rezerwacji taksówek dla WooCommerce, który pozwala na obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Problem ten występuje w wersjach od n/a do 1.3.0 włącznie.

Podatność CVE-2025-54677 dotyczy wtyczki vcita Online Booking & Scheduling Calendar dla WordPress, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to wykorzystanie złośliwych plików przez atakujących.

Podatność związana z nieprawidłowym przypisaniem uprawnień w miniOrange Custom API dla WP umożliwia eskalację uprawnień. Problem ten dotyczy wersji Custom API for WP od n/a do 4.2.2 włącznie.

W podatności CVE-2025-54048 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w miniOrange Custom API dla WP. Problem dotyczy wersji Custom API for WP od n/a do 4.2.2 włącznie.

Podatność CVE-2025-54014 dotyczy deserializacji niezaufanych danych w systemie MediCenter - Health Medical Clinic, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 15.1 włącznie.

W podatności CVE-2025-53580 występuje nieprawidłowe przypisanie uprawnień w aplikacji Simple Business Directory Pro, co umożliwia eskalację uprawnień. Problem dotyczy wersji Simple Business Directory Pro od n/a do poniżej 15.6.9.

W podatności CVE-2025-53577 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości zdalnego wstrzyknięcia kodu w systemie Global DNS w wersjach od n/a do 3.1.0. Problem ten może umożliwić atakującym wykonanie nieautoryzowanego kodu na zainfekowanym systemie.

Podatność na deserializację niezaufanych danych w ThemeMakers Visual Content Composer umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.5.8 włącznie.

Podatność CVE-2025-53213 dotyczy nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce ELEXtensions ReachShip WooCommerce Multi-Carrier & Conditional Shipping. Umożliwia to wykorzystanie złośliwych plików przez atakujących.

Podatność CVE-2025-49890 dotyczy deserializacji niezaufanych danych w wtyczce ThemeREX Organic Beauty, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Organic Beauty od n/a do 1.4.6.

Podatność CVE-2025-49434 dotyczy deserializacji niezaufanych danych w wtyczce Cars4Rent, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji Cars4Rent od n/a do 1.4.2 włącznie.

W podatności CVE-2025-49422 występuje błędne przypisanie uprawnień w systemie Support Ticket od themepassion, co umożliwia eskalację uprawnień. Problem dotyczy wersji Support Ticket od n/a do 1.9 włącznie.

W podatności CVE-2025-49410 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Stored XSS w wtyczce TC Testimonials. Problem dotyczy wersji od n/a do 1.1.1.

Podatność CVE-2025-49409 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji brewlabs SensorPress, co prowadzi do możliwości ataku typu Stored XSS. Problem ten dotyczy wersji SensorPress od n/a do 1.0.

Podatność CVE-2025-49408 w WPDeveloper Templately umożliwia wstrzyknięcie wrażliwych informacji do wysyłanych danych, co pozwala na ich późniejsze odzyskanie. Problem ten dotyczy wersji Templately od n/a do 3.2.7.

Podatność CVE-2025-49400 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce WP Visitor Statistics (Real Time Traffic), co prowadzi do możliwości ataków typu Stored XSS. Problem ten dotyczy wersji od n/a do 8.2.

W podatności CVE-2025-49381 występuje luka typu Cross-Site Request Forgery (CSRF) w aplikacji ads.txt Guru Connect, która pozwala na przeprowadzenie ataków CSRF. Problem ten dotyczy wersji od n/a do 1.1.1 włącznie.