Katalog podatności CVE

Wtyczka WPeMatico RSS Feed Fetcher w wersjach do 2.8.17 zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka Paid Member Subscriptions w wersji 3.0.4 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) bez wymaganego uwierzytelnienia. Atakujący może wysłać spreparowane żądanie HTTP, które zostanie wykonane przez serwer, umożliwiając dostęp do wewnętrznych zasobów sieciowych.

Wtyczka Internal Links Manager w wersji 3.0.3 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Wtyczka Real Estate 7 w wersji 3.5.9 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Wtyczka Themify Popup dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Luka występuje we wszystkich wersjach do 1.4.3 włącznie.

Wtyczka Audrey w wersji 1.5 i starszych zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (LFI). Atakujący może zdalnie odczytać dowolne pliki na serwerze bez konieczności logowania.

Wtyczka NOWPayments for WooCommerce w wersji 1.4.0 i starszych zawiera lukę w zabezpieczeniach polegającą na nieuwierzytelnionym, złamanym dostępie (Broken Access Control). Osoba atakująca bez uwierzytelnienia może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka TheFox w wersjach do 3.9.76 zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka Automotive Car Dealership Business w wersjach do 13.3.3 zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Automotive Listings w wersji 18.6 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Werkstatt dla WordPressa w wersji 4.8.3 i starszych zawiera podatność na wstrzykiwanie obiektów PHP (PHP Object Injection) przez mechanizm contributor. Umożliwia to atakującemu przesłanie złośliwych danych, które mogą prowadzić do zdalnego wykonania kodu.

Wtyczka Pearl - Corporate Business w wersji 3.4.10 i starszych zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (LFI). Atakujący może zdalnie odczytać dowolne pliki na serwerze bez wymagania uwierzytelnienia.

Wtyczka NativeChurch w wersjach do 4.8.8.2 zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

W systemie LMS w wersji 9.7 i starszych występuje nieuwierzytelniona podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Kids Life | Children School dla WordPress w wersji 5.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka ARMember Premium w wersji 7.0 i starszych zawiera podatność na wstrzykiwanie obiektów PHP przez współtwórców. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniony zdalny atakujący może wyczerpać pamięć serwera poprzez usługę GetEndpoints Discovery Service w bibliotece open62541. Pole endpointUrl w żądaniu GetEndpointsRequest nie jest walidowane pod kątem długości, co pozwala na zadeklarowanie dowolnie dużego ciągu znaków (do ~4,09 GB) dostarczanego w fragmentach bez wysyłania ostatniego fragmentu. Serwer buforuje wszystkie fragmenty w pamięci RAM bez ograniczeń aż do czasu wygaśnięcia SecureChannel.

W motywie WordPress Kids Zone - Children w wersji 5.4 i starszych występuje nieuwierzytelniona podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript bez konieczności logowania.

W motywie WordPress Fitness Zone w wersji 5.7 i starszych występuje nieuwierzytelniona podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript bez konieczności logowania.