Katalog podatności CVE

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w Stripe Payments w wersjach do 2.1.2.

Nieuwierzytelniona podatność ujawnienia wrażliwych danych w Lead Generation Contact Widget & AI Chatbot: Chat Button, Phone Call, Telegram, Email – SiteLeads w wersjach do 1.2.0.

Podatność w wtyczce TranslatePress w wersjach do 3.3.2 pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień.

Wtyczka AutomatorWP w wersjach do 5.8.3 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Oznacza to, że użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.

Podatność w wtyczce The Events Calendar w wersjach do 6.17.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).

Nieuwierzytelnione podatności na Cross Site Scripting (XSS) w wtyczce Toolset Blocks w wersjach do 1.6.26 włącznie.

Nieuwierzytelnione podatności na Cross Site Scripting (XSS) w wtyczce Event Tickets w wersjach do 5.29.2.1 włącznie.

Podatność w wtyczce WP Project Manager w wersjach do 4.0.6 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).

Nieuwierzytelniona podatność na złamanie uwierzytelniania (Broken Authentication) w wtyczce WPLegalPages w wersjach do 3.7.0 włącznie.

Podatność w libp2p (JavaScript) przed wersją 4.2.9: ścieżka odświeżania rezerwacji w reservation-store.ts ponownie używa tego samego retimeableSignal, ale bezwarunkowo rejestruje kolejny listener przerwania przy każdym odświeżeniu. Zdalny peer może wielokrotnie wysyłać prawidłowe żądania RESERVE dla tej samej rezerwacji, powodując nieograniczony wzrost liczby listenerów i domknięć w serwerach przekaźnikowych @libp2p/circuit-relay-v2, co prowadzi do odmowy usługi.

Podatność w wtyczce CakePHP Authentication (wersje przed 2.11.2, od 3.0.0 do 3.3.6 oraz od 4.0.0 do 4.2.0) pozwala na obejście uwierzytelniania i potencjalne wyczerpanie CPU lub pamięci, gdy CookieAuthenticator używa niezaszyfrowanych, podrabialnych tokenów starszego typu. Problem został naprawiony w wersjach 2.11.2, 3.3.7 i 4.2.1.

OpenEXR w wersjach od 3.4.0 do 3.4.13 ma podatność na awarię podczas dekodowania specjalnie spreparowanych plików EXR skompresowanych HTJ2K. Problem dotyczy geometrii kafelków i bloków kodu w dekoderze AVX2 OpenJPH, co może prowadzić do zapisu poza stosem i odmowy usługi. Poprawka została wydana w wersji 3.4.14.

OpenTelemetry-Go w wersjach od 0.11.0 do 1.44.0 ma podatność na panikę w moście OpenTracing z powodu niesynchronizowanej mapy extraBaggageItems. Jednoczesne wywołania SetBaggageItem i correlation.MapFromContext na tym samym bridgeSpan mogą prowadzić do błędu krytycznego i zatrzymania procesu, co powoduje odmowę usługi. Poprawka jest w wersji 1.45.0.

Podatność w wtyczce ACPT (Pro) - Custom Post Types Plugin dla WordPressa w wersjach do 2.0.63 pozwala subskrybentowi na wstrzyknięcie obiektów PHP (PHP Object Injection).

Podatność na eskalację uprawnień subskrybenta w wtyczce Booking Hub w wersjach do 1.3.0 włącznie.

Podatność na lokalne dołączanie plików (Local File Inclusion) dla subskrybentów w wtyczce MagicAI dla WordPressa - generator tekstu, obrazów, czatu, kodu i głosu w wersjach do 1.4 włącznie.

Podatność w UltimateAI w wersjach do 3.1.0 umożliwia subskrybentowi (użytkownikowi o niskich uprawnieniach) przesyłanie dowolnych plików na serwer.

Nieuwierzytelnione podatności na Cross Site Scripting (XSS) w wtyczce Boost w wersjach do 2.0.4 włącznie.

Podatność w Boost w wersjach do 2.0.4 umożliwia nieuwierzytelnioną iniekcję SQL.

Podatność w WooBeWoo Product Filter Pro w wersjach do 3.1.8 umożliwia nieuwierzytelnioną iniekcję SQL.