Katalog podatności CVE

Wtyczka Library Bookshelves (do wersji 5.11) zawiera podatność na trwały XSS (Stored Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Zoho Billing (do wersji 4.1) zawiera podatność na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Photo Gallery by Ays (wersje do 6.3.8) zawiera podatność Cross-Site Scripting (XSS) typu DOM-Based. Wynika ona z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Emergency Password Reset (emergency-password-reset) jest podatna na Cross-Site Request Forgery. Luka dotyczy wersji od n/a do <= 9.3.

Wtyczka WPeMatico RSS Feed Fetcher firmy etruel jest podatna na ujawnienie poufnych informacji systemowych nieuprawnionemu podmiotowi. Podatność występuje w wersjach od n/a do 2.8.10 włącznie i pozwala na odczytanie osadzonych poufnych danych.

Wtyczka Bot Block – Stop Spam Referrals in Google Analytics ma podatność Stored XSS polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2.6 włącznie.

Wtyczka Piotnet Forms do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF), która pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wszystkich wersji do 1.0.30 włącznie.

Wtyczka Double the Donation ma podatność Stored XSS polegającą na niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 2.0.0 włącznie.

Wtyczka AnyClip Luminous Studio (anyclip-media) zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.3.3.

W wtyczce Heureka firmy Heureka Group występuje brak autoryzacji, co pozwala na dostęp do funkcjonalności nieodpowiednio ograniczonej przez listy kontroli dostępu. Problem dotyczy wersji do 1.1.0 włącznie.

Wtyczka Epeken All Kurir do WordPressa jest podatna na atak typu Stored XSS (Cross-Site Scripting) z powodu niewłaściwego neutralizowania danych wejściowych podczas generowania stron. Podatność dotyczy wersji do 2.0.6 włącznie.

Wtyczka WP Compress (wp-compress-image-optimizer) dla WordPressa ma brak autoryzacji, co pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Podatność dotyczy wersji do 6.50.54 włącznie.

W usłudze rezerwacji posiłków ARD odkryto podatność na atak typu Cross-Site Scripting (XSS). Podatność występuje w parametrze transactionID w adresie URL strony potwierdzenia transakcji. Z powodu niewłaściwej walidacji wejścia i kodowania wyjścia, atakujący może wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce ofiary.

Wtyczka AffiliateWP – External Referral Links do WordPressa jest podatna na atak typu Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Podatność dotyczy wersji do 1.2.0 włącznie.

Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych) w wtyczce Goracash firmy davaxi pozwala na przechowywany XSS. Problem dotyczy Goracash w wersjach od n/a do <= 1.1.

W PivotX CMS w wersji 3.0.0 RC 3 odkryto podatność na atak XSS (Cross Site Scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript poprzez pole subtitle.

Podatność SQL Injection w oprogramowaniu ARD GEC en Lign przed wersją z 23 kwietnia 2025 roku umożliwia zdalnemu atakującemu eskalację uprawnień poprzez parametry GET w pliku index.php.

Podatność typu stored cross-site scripting (XSS) w widgecie powiadomień w Liferay Portal 7.4.0–7.4.3.112 oraz Liferay DXP (2023.Q4.0–2023.Q4.8, 2023.Q3.1–2023.Q3.10, 7.4 GA–update 92). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy publikacji.

Aplikacja Profession Fit 5.0.99 Build 44910 pozwala na obejście autoryzacji poprzez bezpośrednie żądanie do /api/challenges/{id} oraz adresów URL dla eversports, strony zarządzania użytkownikami i strony plane.

Podatność CVE-2025-9035 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w platformie Virtual Library firmy Horato Internet Technologies Ind. And Trade Inc., co pozwala na ataki typu Reflected XSS.