CVE Vulnerability Catalog

W podatności CVE-2023-49182 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy funkcji wyświetlania wszystkich postów według autorów, zagnieżdżonych kategorii i tytułów w wersjach od n/a do 2.7.10.

Podatność CVE-2023-49178 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce HDW Player (odtwarzacz wideo i galeria wideo), co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 5.0.

Podatność CVE-2023-49177 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w pliku szablonu od wersji n/a do 4.9.0.

Podatność CVE-2023-49176 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce CodeRevolution WP Pocket URLs, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji WP Pocket URLs od n/a do 1.0.2.

Podatność CVE-2023-49170 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Forms by CaptainForm dla WordPress. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 2.5.3.

Wtyczka Essential Real Estate dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'ajaxUploadFonts' w wersjach do 4.3.5 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka E2Pdf dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'import_action' w wersjach do 1.20.25 włącznie. Umożliwia to uwierzytelnionym atakującym, którym administrator wcześniej przyznał dostęp do wtyczki, przesyłanie dowolnych plików na serwer dotkniętej witryny.

W Google Chrome przed wersją 120.0.6099.109 występowała podatność typu use after free w CSS, która mogła zostać wykorzystana przez zdalnego atakującego do potencjalnego uszkodzenia pamięci sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w FedCM w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu, który przekona użytkownika do wykonania określonej interakcji z interfejsem, potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w WebRTC w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w silniku Blink w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

An unconstrained memory consumption vulnerability was discovered in Keycloak. It can be triggered in environments with millions of offline tokens (more than 500,000 users, each having at least 2 saved sessions). If an attacker creates two or more user sessions and then opens the "consents" tab of the admin User Interface, the UI attempts to load a huge number of offline client sessions, leading to excessive memory and CPU consumption which could potentially crash the entire system.

Podatność CVE-2023-48771 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji File Gallery, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji File Gallery od n/a do 1.8.5.4.

W podatności CVE-2023-48767 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w MyTube PlayList, co pozwala na ataki typu Cross-site Scripting (XSS). Problem dotyczy wersji MyTube PlayList od n/a do 2.0.3.

Podatność CVE-2023-48756 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Crocoblock JetBlocks dla Elementor, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji JetBlocks dla Elementor od n/a do 1.3.8.

Podatność CVE-2023-49813 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Photo Album Plus. Problem ten dotyczy wersji od n/a do 8.5.02.005.

Podatność CVE-2023-49771 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Smart External Link Click Monitor [Link Log] w wersjach od n/a do 5.0.2.

Podatność CVE-2023-49766 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce Themefic Ultimate Addons dla Contact Form 7. Problem ten dotyczy wersji Ultimate Addons dla Contact Form 7 od n/a do 3.2.0.

Podatność CVE-2023-49172 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BrainCert – HTML5 Virtual Classroom, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.30.

Podatność CVE-2023-49171 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Innovs HR – Kompleksowy System Zarządzania Zasobami Ludzkimi. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z tego systemu.