Katalog podatności CVE

Wtyczka AI BotKit – AI Chatbot & Live Support dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'id' w shortcode `ai_botkit_widget` we wszystkich wersjach do 1.1.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka aBlocks – WordPress Gutenberg Blocks dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnienie wrażliwych informacji z powodu braku kontroli uprawnień w wielu akcjach AJAX we wszystkich wersjach do 2.4.0 włącznie. Uwierzytelnieni atakujący z poziomem subskrybenta mogą odczytać ustawienia wtyczki, w tym widoczność bloków, konfigurację trybu konserwacji oraz klucze API zewnętrznych usług email marketingu.

Motyw WordPress Plant - Gardening & Houseplants firmy EngoTheme zawiera podatność umożliwiającą ujawnienie wrażliwych informacji systemowych nieautoryzowanym podmiotom. Podatność dotyczy wersji motywu do 1.0.0 włącznie.

Na platformach Arista EOS z włączoną konfiguracją MACsec, specjalnie spreparowany pakiet może spowodować nieoczekiwane zakończenie działania procesu MACsec. Ciągłe otrzymywanie takich pakietów przy określonych konfiguracjach MACsec może prowadzić do długotrwałych zakłóceń ruchu dataplane.

Wtyczka Breeze dla WordPressa (Cloudways) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Breeze od n/a do 2.2.21 włącznie.

Wtyczka Responsive Addons for Elementor zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.0.8 włącznie.

Wtyczka UiChemy dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 4.4.2 włącznie.

Wtyczka Post Expirator (do wersji 4.9.3 włącznie) zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Wtyczka TheGem Theme Elements (dla WPBakery) jest podatna na DOM-Based XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 5.11.0 włącznie.

Wtyczka Creator LMS (WPFunnels) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Creator LMS od n/a do 1.1.12 włącznie.

Wtyczka TheGem Theme Elements (dla Elementor) jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 5.11.0 włącznie.

W wtyczce Better Business Reviews (od BBR Plugins) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.1 włącznie.

Wtyczka The Events Calendar (the-events-calendar) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 6.15.12.2 włącznie.

Podatność typu Stored XSS w wtyczce Accordion (Themepoints) do wersji 3.0.3 włącznie. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka RSS Feed Widget (rss-feed-widget) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.0.2 włącznie.

W dodatku The Events Calendar Countdown Addon (od CoolHappy) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.4.15 włącznie.

Wtyczka AffiliateX dla WordPressa (wersje do 1.3.9.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.

Wtyczka WeDesignTech Ultimate Booking Addon (wedesigntech-ultimate-booking-addon) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.3 włącznie.

Wtyczka Ultimate Store Kit Elementor Addons (do wersji 2.9.4 włącznie) zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to nieautoryzowanym użytkownikom dostęp do funkcji, które powinny być chronione.

Wtyczka Team Showcase dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od nieznanej do 2.9 włącznie.