CVE Vulnerability Catalog

Wtyczka Backuply – Backup, Restore, Migrate and Clone dla WordPressa jest podatna na atak typu Denial of Service we wszystkich wersjach do i włącznie z 1.2.6. Problem wynika z bezpośredniego dostępu do pliku backuply/restore_ins.php.

An issue in Dlink DIR-816A2 v.1.10CNB05 allows a remote attacker to execute arbitrary code via the wizardstep4_ssid_2 parameter in the sub_42DA54 function.

W podatności CVE-2024-24878 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce Portugal CTT Tracking for WooCommerce w wersjach od n/a do 2.1.

Podatność CVE-2024-24877 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Magic Hills Pty Ltd Wonder Slider Lite, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Wonder Slider Lite od n/a do 13.9.

W podatności CVE-2024-24881 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP SMS – Messaging & SMS Notification dla WordPress, WooCommerce, GravityForms itp. Problem ten dotyczy wersji od n/a do 6.5.2.

W bibliotece Link Library autorstwa Yannicka Lefebvre'a występuje podatność na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem ten dotyczy wersji Link Library od n/a do 7.5.13.

CVE-2023-6519 vulnerability in MİA-MED by Mia Technology Inc. allows reading sensitive strings within the wrong session. This issue affects versions before 1.0.7.

The vulnerability in MİA-MED by Mia Technology Inc. involves the plaintext storage of passwords, allowing the reading of sensitive strings within an executable. This issue affects versions of MİA-MED before 1.0.7.

A vulnerability in MİA-MED by Mia Technology Inc. allows the exposure of sensitive information due to incompatible policies. This issue affects MİA-MED versions before 1.0.7.

CVE-2023-6515 is a vulnerability in MİA-MED by Mia Technology Inc. that allows authorization bypass through a user-controlled key, leading to authentication abuse.

Wtyczka WP Booking Calendar dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'calendar_request_params[dates_ddmmyy_csv]' we wszystkich wersjach do i włącznie z 9.9. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Podlove Subscribe button dla WordPressa jest podatna na atak typu SQL Injection oparty na UNION poprzez atrybut 'button' shortcode'a podlove-subscribe-button we wszystkich wersjach do 1.3.10 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

A vulnerability in Hardy Barth cPH2 eCharge Ladestation version 1.87.0 and earlier allows execution with unnecessary privileges. An attacker can exploit this flaw to escalate privileges and gain unauthorized access to the system.

An OS command injection vulnerability in Hardy Barth cPH2 eCharge charging station version 1.87.0 and earlier. An unauthenticated remote attacker can execute arbitrary commands on the system via specially crafted arguments passed to the connectivity check feature.

A Directory Traversal vulnerability in Stimulsoft Dashboard.JS before version 2024.1.2 allows a remote attacker to execute arbitrary code via a crafted payload in the fileName parameter of the Save function.

Wtyczka Website Builder od SeedProd dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji seedprod_lite_new_lpage we wszystkich wersjach do 6.15.21 włącznie. Umożliwia to nieautoryzowanym atakującym zmianę treści stron 'coming soon', stron konserwacyjnych, logowania oraz stron 404.

Wtyczka Instant Images – One Click Image Uploads dla WordPressa jest podatna na nieautoryzowaną aktualizację opcji z powodu niewystarczającej weryfikacji, która nie sprawdza, czy zaktualizowana opcja należy do wtyczki na końcówce REST API instant-images/license we wszystkich wersjach do i włącznie z 6.1.0. To umożliwia autorom i wyższym poziomom aktualizację dowolnych opcji.

Wtyczka File Manager dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 7.2.1 włącznie, z powodu niewystarczającej losowości w nazwach plików kopii zapasowych, które wykorzystują znacznik czasu oraz 4 losowe cyfry. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym kopii zapasowych witryny, w konfiguracjach, gdzie plik .htaccess w katalogu nie blokuje dostępu.

Wtyczka Index Now dla WordPressa jest podatna na atak typu Cross-Site Request Forgery we wszystkich wersjach do i włącznie z 2.6.3. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji 'reset_form'.

Wtyczka User Profile Builder dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'wppb_two_factor_authentication_settings_update' we wszystkich wersjach do 3.10.8 włącznie. Umożliwia to nieautoryzowanym atakującym włączanie lub wyłączanie funkcji 2FA dla dowolnych ról użytkowników.