Katalog podatności CVE

Wtyczka WordPress My Sticky Elements (Premio) do wersji 2.3.3 włącznie ma podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress Product Loops for WooCommerce (XforWooCommerce) do wersji 2.1.2 włącznie ma podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress Share, Print and PDF Products for WooCommerce (XforWooCommerce) do wersji 3.1.2 włącznie ma podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka BWL Knowledge Base Manager (bwl-kb-manager) od xenioushk zawiera lukę typu Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka umożliwia atak Stored XSS. Problem dotyczy wersji od n/a do <= 1.6.3.

Wtyczka BWL Pro Voting Manager (bwl-pro-voting-manager) od xenioushk zawiera lukę typu Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka umożliwia atak DOM-Based XSS. Problem dotyczy wersji od n/a do <= 1.4.9.

Rozszerzenie Contact Form 7 Mailchimp Extension dla WordPressa zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji do 0.9.68 włącznie.

Aplikacja E-Invoice App Malaysia (einvoiceapp-malaysia) w wersjach do 1.3.0 włącznie zawiera podatność polegającą na ujawnieniu poufnych informacji systemowych nieuprawnionemu podmiotowi. Umożliwia to odczytanie osadzonych poufnych danych.

Dodatek DesignThemes LMS Addon dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.6 włącznie.

Wtyczka HomeFix Elementor Portfolio dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.1 włącznie.

Wtyczka WeDesignTech Portfolio dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.0.2 włącznie.

Podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika we wtyczce WordPress Google Calendar Events (do wersji 3.5.9) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowany dostęp.

Podatność typu DOM-Based XSS w rdzeniu DesignThemes Core (wersje do 1.6) umożliwia atakującemu manipulację DOM w przeglądarce ofiary, co może prowadzić do wykonania złośliwego kodu.

Podatność DOM-Based XSS w wtyczce DesignThemes Portfolio Addon (wersje do 1.5) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony.

Wtyczka Eagle Booking dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.3.4.3 włącznie.

Wtyczka Eagle Booking (eagle-booking) w wersjach do 1.3.4.3 włącznie zawiera podatność typu obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress 'Social Login and Register' od miniOrange do wersji 7.7.0 zawiera podatność na lokalne dołączanie plików PHP (PHP Local File Inclusion), co może pozwolić na odczyt wrażliwych plików na serwerze.

ISOinsight opracowany przez NetVision Information ma podatność Reflected Cross-site Scripting, umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu JavaScript w przeglądarce użytkownika poprzez ataki phishingowe.

Znaleziono podatność w Tenda CH22 do wersji 1.0.0.1. Dotyczy funkcji fromDhcpListClient w pliku /goform/DhcpListClient. Manipulacja argumentem LISTLEN prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie.

Znaleziono podatność w Dromara Sa-Token do wersji 1.44.0. Dotyczy funkcji ObjectInputStream.readObject w pliku SaSerializerTemplateForJdkUseBase64.java. Manipulacja prowadzi do deserializacji. Atak może być wykonany zdalnie, charakteryzuje się wysoką złożonością i trudnością wykorzystania. Exploit jest publiczny. Producent nie odpowiedział.

Wtyczka Advance WP Query Search Filter do WordPressa do wersji 1.0.10 nie dezynfekuje i nie escapuje parametru przed wyświetleniem go na stronie, co prowadzi do Reflected Cross-Site Scripting. Podatność może być wykorzystana przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.