Katalog podatności CVE

Wtyczka WPCafe w wersji 3.0.14 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Osoba z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla administratorów.

Podatność na atak typu Cross Site Scripting (XSS) w wtyczce Neve PRO w wersjach do 3.1.2 włącznie. Luka umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, co może prowadzić do kradzieży sesji lub przekierowania użytkownika.

Wtyczka SeedProd Pro w wersjach starszych niż 6.19.5 zawiera podatność na atak typu Cross Site Scripting (XSS) w funkcji dla współtwórców. Umożliwia ona osobie atakującej wstrzyknięcie złośliwego kodu JavaScript do stron generowanych przez wtyczkę.

Dodatek ViewState dla Zed Attack Proxy (ZAP) przed wersją 4 zawiera podatność na niezabezpieczoną deserializację, która umożliwia atakującym kontrolującym serwer proxy osiągnięcie zdalnego wykonania kodu poprzez osadzenie złośliwego, serializowanego obiektu Java w parametrze odpowiedzi HTTP javax.faces.ViewState. Metoda JSFViewState.decode() dekoduje wartość ViewState z base64 i przekazuje ją bezpośrednio do ObjectInputStream.readObject() bez filtra deserializacji, listy dozwolonych typów ani ograniczeń, co powoduje deserializację złośliwego obiektu w JVM ZAP podczas renderowania panelu ViewState w interfejsie Desktop UI.

Wtyczka Featured Image dla WordPressa w wersji 2.1 i starszych zawiera podatność na atak XSS (Cross-Site Scripting) w funkcji autora. Umożliwia to wstrzyknięcie złośliwego kodu JavaScript przez nieautoryzowanego użytkownika.

Wtyczka SEOPress PRO w wersji 9.1.1 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu dla współautorów. Osoba z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji, które powinny być dla niej niedostępne.

Podatność umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu (XSS) w aplikacji NanoMag w wersji 1.8 i starszych. Atak może zostać przeprowadzony bez konieczności logowania, co zwiększa ryzyko dla użytkowników.

Podatność w wtyczce GIFT4U w wersjach do 1.0.10 umożliwia nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Może to prowadzić do nieautoryzowanego dostępu do funkcji lub danych.

Wtyczka Flash & HTML5 Video w wersji 2.11.0 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji lub danych bez wymaganego uwierzytelnienia.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS wtyczki weMail w wersjach do 2.1.2 włącznie.

Wtyczka H5P w wersji 1.17.7 i starszych zawiera podatność umożliwiającą współtwórcy (contributor) usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień podczas operacji usuwania plików.

W systemie FOX w wersji 1.4.8 i starszych występuje podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Site Reviews w wersji 8.0.11 i starszych umożliwia ujawnienie wrażliwych danych subskrybenta. Podatność ta pozwala nieautoryzowanym użytkownikom na dostęp do informacji, które powinny być chronione.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.

Podatność wtyczki GetGenie w wersjach do 4.4.2 umożliwia ujawnienie wrażliwych danych subskrybentów. Atakujący może uzyskać dostęp do informacji, które powinny być chronione.

Podatność umożliwia zdalne wykonanie kodu (RCE) wtyczki Blocksy Companion Pro w wersjach do 2.1.45. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad serwerem.

Wtyczka SureCart w wersji 4.3.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Podatność na atak typu Cross Site Scripting (XSS) wtyczki SureCart w wersjach do 4.2.2, umożliwiająca użytkownikowi z rolą subskrybenta wstrzyknięcie złośliwego skryptu.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS w wtyczce Everest Forms w wersjach do 3.4.8 włącznie.

W kontrolerze REST API v2 aplikacji Teable brakuje adnotacji @Permissions na punktach końcowych ORPC, co pozwala każdemu uwierzytelnionemu użytkownikowi na ominięcie kontroli autoryzacji. Atakujący mogą odczytywać schematy tabel, tworzyć tabele oraz modyfikować lub usuwać rekordy w różnych bazach i tabelach za pomocą punktów końcowych takich jak GET /api/v2/tables/get i POST /api/v2/tables/updateRecords.