CVE Vulnerability Catalog

Wtyczka POST SMTP Mailer dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu problemu z typami danych w punkcie końcowym REST connect-app we wszystkich wersjach do 2.8.7 włącznie. Umożliwia to nieautoryzowanym atakującym zresetowanie klucza API oraz przeglądanie logów, w tym e-maili dotyczących resetowania haseł, co może prowadzić do przejęcia strony.

Wtyczka LearnPress dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'order_by' we wszystkich wersjach do 4.2.5.7 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka MW WP Form dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji '_single_file_upload' w wersjach do 5.0.1 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka WP Compress – Image Optimizer [All-In-One] dla WordPressa jest podatna na atak typu Directory Traversal we wszystkich wersjach do i włącznie z 6.10.33 za pomocą parametru css. Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

An issue found in NetScout nGeniusOne v.6.3.4 allows a remote attacker to execute arbitrary code and cause a denial of service via a crafted file.

A vulnerability in Evernote for macOS version 10.68.2 allows a remote attacker to execute arbitrary code via the RunAsNode and enableNodeClilnspectArguments components.

Podatność CVE-2023-52202 dotyczy deserializacji niezaufanych danych w odtwarzaczu MP3 HTML5 od SVNLabs, w wersjach od n/a do 2.8.0. Może to prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu.

Podatność CVE-2023-52205 dotyczy deserializacji niezaufanych danych w odtwarzaczu HTML5 SoundCloud Player z playlistą Free. Problem ten występuje w wersjach od n/a do 2.8.0.

Podatność CVE-2023-52200 dotyczy ataku typu Cross-Site Request Forgery (CSRF) oraz deserializacji niezaufanych danych w wtyczce ARMember – Membership Plugin. Problem ten wpływa na funkcje związane z ograniczeniem treści, poziomami członkostwa, profilami użytkowników oraz rejestracją użytkowników.

W podatności CVE-2023-52207 występuje deserializacja niezaufanych danych w odtwarzaczu MP3 HTML5 z playlistą Free. Problem ten dotyczy wersji od n/a do 3.0.0.

Wtyczka Duplicator dla WordPressa przed wersją 1.3.0 nieprawidłowo ucieka wartości podczas zastępowania ich w plikach konfiguracyjnych WordPressa. Pozostawienie skryptu instalacyjnego na stronie po użyciu może umożliwić uruchomienie dowolnego kodu na serwerze.

Podatność CVE-2023-52225 dotyczy deserializacji niezaufanych danych w wtyczce Tagbox – UGC Galleries, Social Media Widgets, User Reviews & Analytics. Problem ten występuje w wersjach od n/a do 3.1.

Podatność CVE-2023-52219 dotyczy deserializacji niezaufanych danych w Gecka Gecka Terms Thumbnails, co może prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu. Problem ten dotyczy wersji od n/a do 1.1.

Podatność związana z deserializacją niezaufanych danych w bramce płatności Woocommerce Tranzila. Problem ten dotyczy wersji bramki płatności od n/a do 1.0.8.

W podatności CVE-2023-52215 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji UkrSolution Simple Inventory Management dla WooCommerce. Problem dotyczy wersji od n/a do 1.5.1.

Podatność CVE-2022-46839 dotyczy wtyczki JS Help Desk, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 2.7.1.

CommonMarker versions prior to 0.23.4 are vulnerable to an integer overflow. This can allow unauthenticated remote attackers to cause heap memory corruption, potentially leading to information disclosure or remote code execution, by parsing tables with marker rows containing more than UINT16_MAX columns.

In SpringBlade version 3.7.0 and earlier, a missing permission control framework allows a remote attacker to escalate privileges.

CVE-2023-6436 describes an improper neutralization of special elements used in SQL commands, allowing SQL Injection in the Ekol Informatics Website Template. This issue affects the Website Template until December 15, 2023.

W podatności CVE-2023-51469 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w wtyczce Checkout Mestres WP. Problem dotyczy wersji od n/a do 7.1.9.6.