Katalog podatności CVE

Wtyczka CRM Perks Contact Form Entries w wersjach do 1.3.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.

Wtyczka WP-Matomo Integration (WP-Piwik) w wersjach do 1.0.27 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Wtyczka Ciprian Popescu YouTube Playlist Player w wersjach do 4.6.4 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka PluginOps MailChimp Subscribe Form w wersjach do 4.0.9.1 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście użytkowników odwiedzających stronę.

Wtyczka Smart App Banner w wersjach do 1.1.2 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka BEAR w wersjach do 1.1.3.1 zawiera podatność na atak Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Podatność CSRF w wtyczce Crocoblock JetFormBuilder w wersjach do 3.0.6 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka WooDiscuz – WooCommerce Comments zawiera podatność na przechowywane ataki XSS, które mogą być wykorzystane przez użytkowników z uprawnieniami administratora. Problem dotyczy wersji od n/a do 2.2.9.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Źle sformatowany kanał RSS może dostarczyć ładunek XSS. Problem został naprawiony w wersji 4.4.6.

Omni-notes to aplikacja do robienia notatek na Androida, która miała lukę w walidacji ścieżek. Luka ta pozwalała złośliwym aplikacjom na kopiowanie plików z wewnętrznego magazynu do zewnętrznego, co mogło prowadzić do nieautoryzowanego dostępu do danych.

Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych. Występuje podatność na atak typu cross-site scripting (XSS), która może być wywołana przez wolumeny recenzji. Problem został naprawiony w wersji 4.4.7.

Highlight to otwartoźródłowa platforma monitorująca, która może rejestrować hasła w przypadku, gdy pole HTML z hasłem zostanie zmienione na `type="text"` za pomocą przycisku JavaScript 'Pokaż hasło'. To zachowanie różni się od oczekiwanego, które zawsze ukrywa dane wejściowe typu `password`.

Django-SES to backend pocztowy dla Django, który implementuje obsługę AWS Simple Email Service. W bibliotece django_ses wystąpił błąd w weryfikacji podpisów żądań z AWS, co pozwalało na określenie dowolnych publicznych certyfikatów.

W aplikacji internetowej Papaya Viewer w wersji 1.0.1449 odkryto problem związany z brakiem sanitizacji danych wejściowych. Użytkownicy mogą załadować obrazy DICOM lub NIFTI, co umożliwia wstrzyknięcie dowolnego kodu JavaScript do metadanych obrazu, który jest wykonywany podczas wyświetlania tych metadanych.

Craft to system zarządzania treścią (CMS) do tworzenia niestandardowych doświadczeń cyfrowych w sieci. Wykryto podatność na atak typu cross-site scripting (XSS), która może być wywołana za pomocą narzędzia Update Asset Index. Problem został naprawiony w wersji 4.4.6.

W TFDi Design smartCARS 3 w wersji 0.7.0 i wcześniejszych występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do treści artykułu.

W wersji 2.1.2 biblioteki mp4v2 odkryto wyciek pamięci w klasie MP4BytesProperty.

Skycaiji w wersji 2.5.4 jest podatny na atak typu Cross Site Scripting (XSS). Napastnicy mogą uzyskać dostęp do backendu poprzez wdrożenie złośliwych danych JSON.

W wersji 5.0.5 mipjz występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku w parametrze 'name' w pliku /app/tag/controller/ApiAdminTagCategory.php.