CVE Vulnerability Catalog

Podatność związana z nieprawidłowym przypisaniem uprawnień w Holest Engineering Selling Commander dla WooCommerce umożliwia eskalację uprawnień. Problem ten dotyczy wersji Selling Commander dla WooCommerce od n/a do 1.2.46 włącznie.

Podatność CVE-2025-60235 dotyczy systemu wsparcia biletowego Plugify dla WooCommerce, umożliwiając nieograniczone przesyłanie plików z niebezpiecznymi typami. Problem ten występuje w wersjach od n/a do 2.0.7.

Podatność CVE-2025-60207 dotyczy wtyczki Addify Custom User Registration Fields dla WooCommerce, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

W podatności CVE-2025-60195 występuje nieprawidłowe przypisanie uprawnień w Atarim, co umożliwia eskalację uprawnień. Problem dotyczy wersji Atarim od n/a do 4.2.1 włącznie.

Podatność na deserializację niezaufanych danych w wtyczce s2Member autorstwa Cristiána Lávaque umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji s2Member od n/a do 250701 włącznie.

Podatność CVE-2025-58996 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem w Helmut Wandl Advanced Settings, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji Advanced Settings od n/a do 3.1.1 włącznie.

Podatność CVE-2025-58636 dotyczy deserializacji niezaufanych danych w wtyczce CRM Perks WP Gravity Forms Keap/Infusionsoft gf-infusionsoft, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WP Gravity Forms Keap/Infusionsoft od n/a do 1.2.3 włącznie.

Podatność CVE-2025-58627 dotyczy wtyczki Miraculous Core Plugin, która pozwala na obejście autoryzacji poprzez kontrolowany przez użytkownika klucz. Problem wynika z nieprawidłowo skonfigurowanych poziomów zabezpieczeń dostępu i dotyczy wersji od n/a do poniżej 2.0.9.

Podatność CVE-2025-53283 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Drop Uploader dla CF7 - Drag&Drop File Uploader Addon. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stanowi poważne zagrożenie dla bezpieczeństwa.

Podatność na deserializację niezaufanych danych w VictorThemes Seil umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Seil od n/a do 1.7.1 włącznie.

Podatność CVE-2025-52773 dotyczy wtyczki HieCOR Payment Gateway, która umożliwia atak typu SQL Injection z powodu niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL. Problem ten występuje w wersjach od n/a do 1.5.11 włącznie.

Podatność CVE-2025-49393 dotyczy deserializacji niezaufanych danych w aplikacji Fetch Designs Sign-up Sheets, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji Sign-up Sheets od n/a do 2.3.2 włącznie.

W podatności CVE-2025-49372 występuje niewłaściwa kontrola generowania kodu ('wstrzykiwanie kodu') w systemie wsparcia biletowego HAPPY od VillaTheme, co pozwala na zdalne włączenie kodu. Problem dotyczy wersji HAPPY od n/a do 1.0.7.

W podatności CVE-2025-48089 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia SQL w motywie WordPress Education | HiStudy. Problem dotyczy wersji motywu od n/a do poniżej 3.1.0.

Podatność CVE-2025-47588 dotyczy niewłaściwej kontroli generowania kodu w wtyczce Dynamic Pricing With Discount Rules dla WooCommerce, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wersji od n/a do 4.5.9 włącznie.

Podatność CVE-2025-32222 dotyczy niewłaściwej kontroli generowania kodu w wtyczce Widget Logic, co pozwala na wstrzykiwanie kodu. Problem ten dotyczy wersji Widget Logic od n/a do 6.0.5 włącznie.

DataEase versions 2.10.14 and below did not properly filter when establishing JDBC connections to Oracle, creating a risk of JNDI injection. This is fixed in version 2.10.15.

In DataEase versions 2.10.14 and below, the vendor added a blacklist to filter ldap:// and ldaps://, but omission of protection for the dns:// protocol results in an SSRF vulnerability. The issue is fixed in version 2.10.15.

Youki, a Rust-based container runtime, in versions 0.5.6 and below performs insufficiently strict write-target validation in AppArmor handling. Combined with path substitution during pathname resolution, this can allow writes to unintended procfs locations. While resolving a path component-by-component, a shared-mount race can substitute intermediate components and redirect the final target. Fixed in 0.5.7.

Youki, a Rust-based container runtime, in versions 0.5.6 and below has insufficient initial validation of the /dev/null source. This allows container escape when Youki bind-mounts the container's /dev/null as a file mask. Fixed in 0.5.7.