Katalog podatności CVE

W podatności CVE-2025-32577 występuje niewłaściwa kontrola nazwy pliku w instrukcji Include/Require w programie PHP, co prowadzi do możliwości lokalnego włączenia pliku. Problem dotyczy aplikacji Build App Online w wersjach od n/a do 1.0.23.

Podatność CVE-2025-32569 dotyczy deserializacji niezaufanych danych w RealMag777 TableOn, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji TableOn od n/a do 1.0.4.3 włącznie.

Podatność CVE-2025-32568 dotyczy deserializacji niezaufanych danych w wtyczce EmpikPlace dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 1.4.3 włącznie.

Podatność CVE-2025-32565 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wykonania ataku typu SQL Injection w produkcie Neon Product Designer dla WooCommerce. Problem ten dotyczy wersji od n/a do 2.2.0 włącznie.

W podatności CVE-2025-32491 występuje nieprawidłowe przypisanie uprawnień w wtyczce Rankology SEO – On-site SEO, co umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 2.2.4 włącznie.

W podatności CVE-2025-31599 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w N-Media Bulk Product Sync w wersjach od n/a do 8.6.

W podatności CVE-2025-31565 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce WPSmartContracts w wersjach od n/a do 2.0.12.

W ConnMan do wersji 1.44, ciąg wyszukiwania w ns_resolv w dnsproxy.c może być NULL lub pustym ciągiem, gdy bit TC (Truncated) jest ustawiony w odpowiedzi DNS. To umożliwia atakującym spowodowanie awarii aplikacji (denial of service) lub potencjalne wykonanie dowolnego kodu, ponieważ te wartości wyszukiwania prowadzą do błędnych obliczeń długości i niepoprawnych operacji memcpy.

Podatność CVE-2025-32206 umożliwia nieograniczone przesyłanie plików o niebezpiecznym typie w projekcie LABCAT Processing Projects, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Dotyczy to wersji Processing Projects od n/a do 1.0.2 włącznie.

Podatność CVE-2025-32202 dotyczy wtyczki 'Insert or Embed Articulate Content into WordPress', która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW.

Podatność CVE-2025-32140 dotyczy wtyczki WP Remote Thumbnail, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.

W podatności CVE-2025-32695 występuje nieprawidłowe przypisanie uprawnień w wtyczce Mestres do WP Checkout, co umożliwia eskalację uprawnień. Problem dotyczy wersji wtyczki od n/a do 8.7.5.

W aplikacji Vite Coupon występuje podatność typu Cross-Site Request Forgery (CSRF), która umożliwia zdalne włączenie kodu. Problem ten dotyczy wersji Vite Coupon od n/a do 1.0.9 włącznie.

Podatność typu Cross-Site Request Forgery (CSRF) w Anant Addons dla Elementor umożliwia atak CSRF. Problem ten dotyczy wersji Anant Addons dla Elementor od n/a do 1.1.8 włącznie.

W podatności CVE-2025-32576 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce WP shop dla Agence web Eoxia - Montpellier, która umożliwia przesyłanie powłok sieciowych na serwer WWW. Problem dotyczy wersji WP shop od n/a do 2.6.1.

Podatność typu Cross-Site Request Forgery (CSRF) w Uncodethemes Ultra Demo Importer (wersje od n/a do 1.0.5) umożliwia przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy funkcji importu demo w tym wtyczce.

Podatność typu Cross-Site Request Forgery (CSRF) w wtyczce Buddypress Humanity pozwala na przeprowadzenie ataków CSRF. Problem dotyczy wersji Buddypress Humanity od n/a do 1.2 włącznie.

Podatność CVE-2025-31002 w Squeeze pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach, co może prowadzić do wykorzystania złośliwych plików. Problem dotyczy wersji Squeeze od n/a do 1.6 włącznie.

W urządzeniach Wi-Fi AP UNIT 'AC-WPS-11ac series' występuje podatność na wstrzykiwanie poleceń systemowych. W przypadku jej wykorzystania, zdalny atakujący, który ma dostęp do logowania, może wykonać dowolne polecenie systemowe.

Wersja Tiki przed 28.3 zawiera podatność w wikiplugin_includetpl, która niewłaściwie obsługuje dane wejściowe przekazywane do funkcji eval. Problem został naprawiony w wersjach 21.12, 24.8, 27.2 oraz 28.3.