Katalog podatności CVE

Wtyczka Shortcodes and extra features for Phlox theme (Averta LTD) w wersjach do 2.17.24 włącznie jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych.

Nieuwierzytelnione Ujawnienie Wrażliwych Danych w 3D FlipBook – PDF Flipbook Viewer, Flipbook Image Gallery w wersjach <= 1.16.20.

Złamana kontrola dostępu na poziomie współautora w WP Table Builder w wersjach <= 2.2.0.

Wtyczka Gravity Booster – Styles & Layouts for Gravity Forms w wersji 6.0 i starszych ma podatność na złamanie kontroli dostępu przez użytkownika z rolą Subscriber. Oznacza to, że subskrybent może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.

Wtyczka RomethemeForm For Elementor w wersji 1.2.6 i starszych ma podatność na złamanie kontroli dostępu przez użytkownika z rolą Contributor. Oznacza to, że autor może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.

Starter Templates by Kadence WP w wersjach do 2.3.3 zawiera podatność na niezautentyfikowany atak typu Denial of Service (DoS). Atakujący może spowodować niedostępność usługi bez konieczności uwierzytelnienia.

Wtyczka Masteriyo - LMS do WordPressa (do wersji 2.3.2) pozwala na nieograniczone przesyłanie plików o niebezpiecznym typie. Umożliwia to atakującemu przesłanie i uruchomienie web shella na serwerze WWW.

Wtyczka User Registration w wersji 5.2.6 i starszych ma podatność na złamanie uwierzytelniania przez użytkownika z rolą Subscriber. Oznacza to, że subskrybent może uzyskać nieautoryzowany dostęp do kont lub funkcji, do których nie powinien mieć uprawnień.

Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Charitable w wersjach do 1.8.11.3.

Trix, edytor tekstu bogatego WYSIWYG, przed wersją 2.1.17 jest podatny na cross-site scripting (XSS) przez atrybut data-trix-serialized-attributes, który omija filtr DOMPurify. Atakujący może stworzyć HTML z tym atrybutem zawierającym złośliwy kod, który po wyrenderowaniu wykonuje dowolny JavaScript w sesji użytkownika, co może prowadzić do nieautoryzowanych działań lub ujawnienia wrażliwych informacji.

Wtyczka MasterStudy LMS w wersji 3.7.41 i starszych ma podatność na złamanie kontroli dostępu przez użytkownika z rolą Subscriber. Oznacza to, że subskrybent może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.

Nieuwierzytelniona podatność lokalnego dołączania plików w wtyczce Restaurant Menu by MotoPress w wersjach do 2.4.11.

Wtyczka Flutterwave WooCommerce w wersji 3.3.0 i starszych ma podatność na złamanie uwierzytelniania bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka Piraeus Bank WooCommerce Payment Gateway w wersji 3.2.0 ma podatność na złamanie uwierzytelniania bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Nieuwierzytelniona podatność na deserializację niezaufanych danych w wtyczce Youzify w wersjach do 1.3.7. Atakujący bez logowania może deserializować dane, co może prowadzić do zdalnego wykonania kodu.

Podatność złamanej autoryzacji dla subskrybentów w wtyczce MWB HubSpot for WooCommerce w wersjach do 1.6.7.

Wtyczka Booking calendar, Appointment Booking System w wersji 3.2.36 i starszych ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do obiektów (np. rezerwacji) bez autoryzacji.

Nieuwierzytelniona podatność Cross Site Scripting (XSS) w wtyczce Subscribe2 w wersjach do 10.46.

Ten identyfikator CVE został odrzucony lub wycofany przez organizację numerującą CVE. Został oznaczony jako duplikat CVE-2026-12965.

Wtyczka CTX Feed w wersji 6.6.47 i starszych ma podatność na dowolne pobieranie plików przez użytkownika z rolą Shop manager. Oznacza to, że menedżer sklepu może pobierać dowolne pliki z serwera, do których nie powinien mieć dostępu.