CVE Vulnerability Catalog

Wtyczka Backup Migration dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do i włącznie z 1.4.6, poprzez deserializację nieufnych danych wejściowych w funkcji 'recursive_unserialize_replace'. Umożliwia to nieautoryzowanym atakującym wstrzyknięcie obiektu PHP.

Wtyczka WordPress Popular Posts dla WordPressa jest podatna na wykonanie dowolnego shortcode'a we wszystkich wersjach do i włącznie z 7.1.0. Problem wynika z braku odpowiedniej walidacji wartości przed wykonaniem do_shortcode.

W Roxy-WI w wersjach do 8.1.3 zidentyfikowano krytyczną podatność. Dotyczy ona funkcji action_service w pliku app/modules/roxywi/roxy.py, gdzie manipulacja argumentem action/service prowadzi do wstrzyknięcia poleceń systemowych.

Routery komórkowe, bezpieczne routery oraz urządzenia zabezpieczające sieci firmy Moxa są dotknięte poważną podatnością CVE-2024-9138. Podatność ta polega na twardo zakodowanych poświadczeniach, co umożliwia uwierzytelnionemu użytkownikowi eskalację uprawnień i uzyskanie dostępu na poziomie roota.

W podatności CVE-2023-48758 występuje brak autoryzacji w Crocoblock JetEngine, co pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji JetEngine od n/a do 3.2.4.

W podatności CVE-2024-56014 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w Markyis Cool Olivia, co prowadzi do podatności na ataki typu Reflected XSS. Problem dotyczy wersji Olivia od n/a do 0.9.5.

W podatności CVE-2024-39623 występuje problem z atakiem Cross-Site Request Forgery (CSRF) w CridioStudio ListingPro, który umożliwia obejście uwierzytelnienia. Dotyczy to wersji ListingPro od n/a do 2.9.4 włącznie.

Podatność CVE-2024-56267 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Stored XSS w interaktywnym mapie UK. Problem ten występuje w wersjach od n/a do 3.4.8 w produkcie Interactive UK Map.

Podatność CVE-2024-56250 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Just Writing Statistics w wersjach od n/a do 4.7.

W podatności CVE-2024-56247 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce WP Post Author w wersjach od n/a do 3.8.2. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.

W podatności CVE-2024-56026 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w Simple Proxy od Greg – SiteOrigin. Problem ten dotyczy wersji Simple Proxy od n/a do 1.0 włącznie.

Podatność CVE-2024-56025 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w AdWork Media EZ Content Locker, co prowadzi do możliwości ataków typu Cross-site Scripting (XSS). Problem ten dotyczy wersji od n/a do 3.0 włącznie.

Podatność CVE-2024-56024 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w widżecie DuoGeek Custom Dashboard. Umożliwia to atak typu Reflected XSS w wersjach widżetu od n/a do 1.0.0.

W podatności CVE-2024-56023 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce PerfectSolution WP eCommerce Quickpay. Problem dotyczy wersji wtyczki od n/a do 1.1.0 włącznie.

W podatności CVE-2024-56022 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w wtyczce Preloader by WordPress Monsters, co prowadzi do ataków typu Reflected XSS. Problem dotyczy wersji wtyczki od n/a do 1.2.3.

Podatność CVE-2024-56018 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w BU Web Team BU Section Editing. Problem ten występuje w wersjach od n/a do 0.9.9 włącznie.

Wtyczka Themefic Ultimate Addons dla Contact Form 7 zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Ultimate Addons dla Contact Form 7 od n/a do 3.2.6 włącznie.

W EazyDocs występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji EazyDocs od n/a do 2.3.5.

W WP Travel występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WP Travel od n/a do 7.8.0.

W WooODT Lite występuje luka związana z brakiem autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji WooODT Lite od n/a do 2.4.6.