Katalog podatności CVE

W Esri ArcGIS Server 11.4 i wcześniejszych na Windows i Linux występuje podatność typu stored cross site scripting. W niektórych konfiguracjach pozwala ona zdalnemu nieuwierzytelnionemu atakującemu zapisać pliki zawierające złośliwy kod, który może zostać wykonany w kontekście przeglądarki ofiary.

Wtyczka Conformer for Elementor do wersji 1.0.7 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Logger for Elementor do wersji 1.0.9 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Worker for WPBakery do wersji 1.1.1 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Worker for Elementor do wersji 1.0.10 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność Path Traversal typu '.../...//' w wtyczce Pro Bulk Watermark dla WordPressa (pro-watermark) umożliwia atakującemu dostęp do plików poza katalogiem docelowym. Dotyczy wersji do 2.0 włącznie.

Wtyczka Headinger for Elementor do wersji 1.1.4 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Criptopayer for Elementor do wersji 1.0.1 włącznie zawiera podatność polegającą na braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Countdowner for Elementor do wersji 1.0.4 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowane operacje w panelu administratora.

Wtyczka Appender do wersji 1.1.1 ma podatność na brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonywać operacje bez odpowiednich uprawnień.

Wtyczka UnGrabber do wersji 3.1.3 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowane działania administracyjne.

ZwiiCMS w wersjach przed 13.7.00 zawiera podatność na odmowę usługi w wielu punktach administracyjnych. Wynika ona z nieprawidłowej kontroli autoryzacji połączonej z błędnym zarządzaniem stanem zasobów.

Wykryto podatność w iCMS do wersji 8.0.0. Funkcja Save w pliku app/config/ConfigAdmincp.php komponentu POST Parameter Handler umożliwia wstrzyknięcie kodu poprzez manipulację argumentem config. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wykryto podatność w Kohana KodiCMS do wersji 13.82.135. Funkcja Save w pliku cms/modules/kodicms/classes/kodicms/model/file.php komponentu Layout API Endpoint umożliwia wstrzyknięcie kodu poprzez manipulację argumentem content. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka Cooked do WordPressa zawiera podatność Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Umożliwia to wstrzyknięcie złośliwego skryptu, który wykonuje się podczas wyświetlania stron. Podatność dotyczy wersji do 1.11.3 włącznie.

Wtyczka Behance Portfolio Manager do WordPressa zawiera podatność Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się u użytkowników. Podatność dotyczy wersji do 1.7.5 włącznie.

Wtyczka Accessibility Press do WordPressa zawiera podatność Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Umożliwia to wstrzyknięcie skryptów, które wykonują się u administratorów i użytkowników. Podatność dotyczy wersji do 1.0.2 włącznie.

Wtyczka Dashboard Beacon do WordPressa zawiera podatność Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Umożliwia to wstrzyknięcie skryptów w kontekście pulpitu administratora. Podatność dotyczy wersji do 1.2.0 włącznie.

W systemie Kohana KodiCMS do wersji 13.82.135 wykryto podatność na wstrzykiwanie SQL w funkcji like pliku cms/modules/pages/classes/kodicms/model/page.php w komponencie Search API Endpoint. Manipulacja argumentem keyword umożliwia zdalne wykonanie ataku. Exploit został opublikowany i może być wykorzystany.

W D-Link DIR-806A 100CNb11 zidentyfikowano słabość w funkcji ssdpcgi_main komponentu SSDP Request Handler. Manipulacja powoduje wstrzyknięcie poleceń. Atak może być zainicjowany zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Podatność dotyczy tylko produktów, które nie są już wspierane przez producenta.