Katalog podatności CVE

Podatność wtyczki Abandoned Cart Pro dla WooCommerce w wersji 10.4.0 i niższych umożliwia użytkownikom z rolą subskrybenta eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.

Wtyczka Fusion Builder dla WordPressa w wersji 3.15.4 i starszych zawiera podatność umożliwiającą eskalację uprawnień przez współautorów. Atakujący z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Wtyczka Stylish Cost Calculator w wersji 8.3.9 i starszych zawiera lukę w mechanizmie kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na ominięcie autoryzacji. Podatność ta może prowadzić do nieautoryzowanego dostępu do funkcji kalkulatora kosztów.

Wtyczka Syncee Premium Dropshipping & Wholesale w wersji 1.0.27 i niższych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może uzyskać nieautoryzowany dostęp do funkcji lub danych chronionych.

Wtyczka Newsletters w wersjach do 4.13 zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.

Wtyczka Trinity Backup do WordPressa w wersji 2.0.9 i niższych umożliwia nieuwierzytelnionym użytkownikom dostęp do wrażliwych danych. Podatność ta pozwala na wyciek informacji bez konieczności logowania.

Wtyczka Intranet & Private Site – All-In-One Intranet w wersji 1.8.1 i starszych zawiera podatność na nieuwierzytelniony, złamany mechanizm kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do chronionych zasobów intranetowych.

Wtyczka Five Star Restaurant Menu w wersji 2.5.2 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji administracyjnych bez wymaganego uwierzytelnienia.

Podatność w Object Cache 4 everyone w wersjach do 2.3.2 umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia prowadzi do ujawnienia poufnych informacji.

Wtyczka Enable CORS w wersjach do 2.0.3 zawiera nieuwierzytelnione tylne drzwi, które mogą zostać wykorzystane przez nieautoryzowanego atakującego.

Podatność wtyczki Gutenverse Companion w wersji 2.5.0 i niższych umożliwia niezautoryzowanym atakującym ominięcie kontroli dostępu. Luka ta wynika z nieprawidłowej weryfikacji uprawnień, co pozwala na wykonanie nieautoryzowanych operacji bez wymaganego uwierzytelnienia.

Wtyczka GeoDirectory w wersjach do 2.8.162 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać niezalogowany atakujący. Luka umożliwia wykonanie nieautoryzowanych zapytań do bazy danych.

Podatność SQL Injection w wtyczce Real Estate 7 w wersjach do 3.5.9 umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu SQL. Może to prowadzić do nieautoryzowanego dostępu do bazy danych i wycieku danych.

Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.

Wtyczka wpDataTables w wersji 7.4 i starszych zawiera podatność na wstrzykiwanie SQL (SQL Injection) bez wymaganego uwierzytelnienia. Atakujący może zdalnie wykonać dowolne zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.

Wtyczka Ads by WPQuads w wersji 3.0.3 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniej kontroli dostępu do danych przechowywanych przez wtyczkę.

Podatność SQL Injection w wtyczce JetBooking w wersjach do 4.0.4.1 umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.

Wtyczka User Registration w wersji 5.2.2 i starszych zawiera podatność na nieuwierzytelniony, nieskuteczny mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanych działań.

Podatność w pluginie Mattermost Agents MCP server pozwala atakującemu z dostępem do serwera MCP w trybie stdio na wykonanie fałszowania żądań po stronie serwera (SSRF) poprzez podanie wewnętrznych adresów URL jako załączników w żądaniach tworzenia postów. Problem dotyczy wersji 10.11.x <= 10.11.18, 11.6.x <= 11.6.3 oraz 11.5.x <= 11.5.6.

Podatność w implementacji KTLS w jądrze FreeBSD powoduje, że podczas odbioru danych przez KTLS na połączeniu loopback, dane pochodzące z sendfile(2) są odszyfrowywane w miejscu, nadpisując stronę pamięci podręcznej pliku zamiast prywatnej kopii. Umożliwia to nieuprzywilejowanemu użytkownikowi lokalnemu nadpisanie zawartości plików, które może odczytać, poprzez wysłanie ich przez połączenie loopback z włączonym odbiorem KTLS.