Katalog podatności CVE

Podatność w funkcji Full Disk Encryption produktu WatchGuard Endpoint Security dla macOS polega na przechowywaniu poufnych informacji w postaci jawnej. Lokalny użytkownik lub proces bez uprawnień może odczytać osobisty klucz odzyskiwania FileVault zarządzanego komputera z trwale zapisanego pliku dziennika diagnostycznego, który pozostaje czytelny dla wszystkich lokalnych użytkowników.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (Cross-site Scripting) w wtyczce WordPress Extensions for Leaflet Map umożliwia przechowywany XSS. Problem dotyczy wersji do 6.0 włącznie.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (Cross-site Scripting) we wtyczce WordPress ND Shortcodes For Visual Composer umożliwia przechowywany XSS. Problem dotyczy wersji do 7.8 włącznie.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (Cross-site Scripting) we wtyczce WordPress Waitlist Woocommerce (Back in stock notifier) umożliwia przechowywany XSS. Problem dotyczy wersji do 2.9.1 włącznie.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (Cross-site Scripting) we wtyczce WordPress Restaurant Menu – Food Ordering System – Table Reservation umożliwia przechowywany XSS. Problem dotyczy wersji do 2.4.4 włącznie.

Wtyczka ЮKassa dla WooCommerce ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.17.3 włącznie.

Wtyczka myCred ma podatność polegającą na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.0.0-beta.1 włącznie.

Wtyczka Page Restriction WordPress (WP) firmy miniOrange ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.6.0 włącznie.

Wtyczka ShopMagic (shopmagic-for-woocommerce) firmy WP Desk ma podatność polegającą na wstawianiu poufnych informacji do zewnętrznie dostępnego pliku lub katalogu, co pozwala na odzyskanie osadzonych poufnych danych. Problem dotyczy wersji do 4.9.1 włącznie.

Wtyczka WordPress Off-Canvas Sidebars & Menus (Slidebars) do wersji 0.5.9 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Dane wprowadzone przez użytkownika nie są prawidłowo oczyszczane, co pozwala na zapisanie złośliwego skryptu.

Wtyczka ACF Extended w wersjach do 0.9.2.7 zawiera podatność przejścia ścieżki (Path Traversal) polegającą na niewłaściwym ograniczeniu nazwy ścieżki do katalogu restrykcyjnego. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.

Wtyczka Majestic Support (Ahmad Majestic) w wersjach do 1.2.1 zawiera podatność Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress Sunshine Photo Cart (do wersji 3.7.5) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji przez nieuprawnione osoby.

Parser org.json w com.vaadin.external.google:android-json rekurencyjnie przetwarza zagnieżdżone struktury JSON bez limitu głębokości. Głęboko zagnieżdżony dokument JSON (około 20 KB) powoduje wyrzucenie java.lang.StackOverflowError zamiast JSONException, co może przerwać wątek przetwarzający dane.

Wtyczka SureDash firmy Brainstorm Force ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.12.2 włącznie.

Wtyczka SureDash (Brainstorm Force) w wersjach do 1.12.2 zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W module mod_qos występuje błąd obliczenia wskaźnika typu off-by-one podczas łączenia parametrów treści żądania z istniejącym zapytaniem URL. Powoduje to obcięcie ciągu zapytania podczas oceny bezpieczeństwa, podczas gdy rzeczywiste żądanie pozostaje niezmienione. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie, które ukrywa zabronione wartości przed inspekcją, omijając skonfigurowane reguły bezpieczeństwa.

W mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez utrzymywanie wielu równoczesnych połączeń o niskim natężeniu do serwera. Gdy monitorowanie szybkości połączeń jest aktywne, moduł nie weryfikuje granic tablicy podczas zapisywania adresów IP klientów, co prowadzi do przepełnienia bufora sterty i awarii procesu serwera WWW.

Wtyczka WordPress Elementor Addon Elements do wersji 1.14.4 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwe dane mogą zostać zapisane i wykonane w przeglądarce użytkownika.

Wtyczka PowerPack Addons for Elementor (powerpack-lite-for-elementor) firmy IdeaBox Creations zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.1.0.