Katalog podatności CVE

Cybozu Garoon zawiera podatność na cross-site scripting. Jeśli zostanie wykorzystana, może zostać wykonany dowolny skrypt w przeglądarce internetowej zalogowanego użytkownika.

Nieprawidłowa walidacja danych wejściowych w Samsung Dialer przed wydaniem SMR Aug-2026 Release 1 umożliwia zdalnym atakującym dostęp do funkcji związanych z kartą SIM. Wymagana jest interakcja użytkownika.

Nieprawidłowa walidacja danych wejściowych w Samsung Contacts przed wydaniem SMR Aug-2026 Release 1 umożliwia atakującym fizycznym dostęp do danych w wielu profilach użytkowników.

Wtyczka Duplicate Post przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji dla poszczególnych obiektów w operacjach masowego kopiowania i usuwania. Umożliwia to każdemu użytkownikowi, któremu administrator przyznał dostęp do wtyczki, trwałe usuwanie dowolnych wpisów na stronie, w tym należących do innych użytkowników.

Wtyczka All-in-One Video Gallery rejestruje publiczny, nieuwierzytelniony moduł pobierania plików wyzwalany przez `?vdl=<post_id>` na dowolnym poście `aiovg_videos`. Moduł ten odczytuje wartość meta `mp4` i przesyła odpowiedź z tego adresu URL z powrotem do żądającego.

Wtyczka Advanced Classifieds & Directory Pro przed wersją 3.4.3 (<= 3.4.2) jest podatna na nieuwierzytelnione ujawnienie wrażliwych informacji poprzez akcję AJAX `acadp_public_custom_fields_listings`.

Wtyczka Block User Account przed wersją 2.0.1 nie egzekwuje blokady konta na każdej ścieżce uwierzytelniania, co pozwala zablokowanemu użytkownikowi posiadającemu hasło aplikacyjne utworzone przed blokadą zachować pełny dostęp do odczytu i zapisu na swoim poziomie roli przez REST API.

Wtyczka RSS Aggregator by Feedzy przed wersją 5.2.6 nie weryfikuje, czy żądający użytkownik jest właścicielem lub ma uprawnienia do edycji zadania importu, co pozwala użytkownikom z dostępem na poziomie autora i wyżej na trwałe usuwanie postów utworzonych przez zadanie importu innego użytkownika, resetowanie stanu deduplikacji i harmonogramu, wyłączanie go lub czyszczenie dziennika błędów. Jedna z dotkniętych akcji nie wykonuje również kontroli typu obiektu, więc dowolne posty i strony mogą być również cofnięte z publikacji niezależnie od właściciela.

Wtyczka Library Management System dla WordPressa przed wersją 3.6.7 nie sanityzuje i nie escapuje parametru dostarczanego przez użytkownika przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta wykonanie wstrzyknięcia SQL i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.

Wtyczka FoodBoxBooker dla WordPressa przed wersją 1.0.8 nie weryfikuje, czy konto użytkownika, które jest aktualizowane, należy do użytkownika wysyłającego żądanie. Umożliwia to uwierzytelnionym użytkownikom z dostępem co najmniej na poziomie Subskrybenta modyfikowanie danych profilu dowolnych użytkowników, w tym administratorów.

Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.

Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.

Wtyczka JetEngine do WordPressa przed wersją 3.8.13.1 nie dezynfekuje przesłanych plików SVG przed ich przechowywaniem i serwowaniem oraz nie ogranicza odpowiednio, kto może je przesyłać, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting).

Framework CubeWP do WordPressa do wersji 1.1.30 nie przeprowadza kontroli autoryzacji odczytu per obiekt ani nie ogranicza, które klucze metadanych mogą być żądane, na jednym z punktów końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na odczyt dowolnych metadanych postów (w tym postów innych użytkowników w wersjach roboczych, oczekujących, prywatnych i chronionych hasłem) oraz dowolnych metadanych użytkowników, w tym administratorów.

Wtyczka Accept PayPal & Stripe with Subscriptions for WooCommerce do WordPressa do wersji 3.1.0 nie weryfikuje, czy konto PayPal, które otrzymało płatność, odpowiada skonfigurowanemu kontu sprzedawcy przed oznaczeniem zamówienia jako opłaconego, co pozwala nieuwierzytelnionym kupującym na sfinalizowanie zamówienia WooCommerce poprzez zapłacenie pełnej kwoty na własne konto PayPal zamiast na konto sprzedawcy.

Wtyczka Saitama Addon Pack do WordPressa do wersji 1.0.8 nie dezynfekuje i nie escapuje niektórych wartości metadanych postów przed ich wyświetleniem, co pozwala użytkownikom z dostępem na poziomie contributora i wyżej na wstrzyknięcie trwałych ładunków Cross-Site Scripting, które wykonują się w przeglądarce użytkownika z wyższymi uprawnieniami, który przegląda treść.

Wtyczka Term Pages do WordPressa przed wersją 2.0.0 nieprawidłowo dezynfekuje i escapuje parametr przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.