Katalog podatności CVE

Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce FundEngine w wersjach do 1.7.9.

ArcSearch dla iOS w wersjach przed 1.48.0 może utrzymywać ukryty pasek adresu po przewinięciu inicjowanym przez stronę, co pozwala treści kontrolowanej przez atakującego na imitowanie elementów interfejsu przeglądarki i zwiększa ryzyko spoofingu.

Ten identyfikator CVE został odrzucony lub wycofany przez jego CNA (CVE Numbering Authority).

BetterDesk, rozwiązanie do zdalnego zarządzania pulpitem, w wersjach do 2.3.0 nieprawidłowo unieważnia tożsamości usuniętych urządzeń, co pozwala nieuwierzytelnionemu klientowi na powtórzenie lub sfałszowanie identyfikatora urządzenia i ominięcie kontroli rejestracji. Wersja 3.0.0-alpha zawiera poprawkę. Nie są znane żadne obejścia.

Bramka płatnicza Duitku w wersjach do 2.11.14 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Osoba atakująca bez logowania może uzyskać dostęp do poufnych informacji.

Wtyczka [Aotuman] Grab WeChat Articles w wersji 2.0.1 i wcześniejszych zawiera podatność na Server Side Request Forgery (SSRF) w subskrybencie. Umożliwia to atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.

Wtyczka Gravity Forms Bookings premium w wersjach do 2.1 zawiera podatność na wstrzyknięcie SQL z poziomu subskrybenta. Osoba atakująca z uprawnieniami subskrybenta może wykonać nieautoryzowane zapytania do bazy danych.

Wtyczka Essential Real Estate w wersjach do 5.3.3 zawiera podatność na wstrzyknięcie obiektów PHP z poziomu klienta. Osoba atakująca może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Theme Test Drive w wersjach do 2.9.1 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Osoba atakująca bez logowania może dołączyć lokalne pliki z serwera.

Użytkownik z rolą Współautor (Contributor) może przesłać dowolny plik w wtyczce Sync Post With Other Site w wersjach do 1.9.3.

Użytkownik z rolą Współautor (Contributor) może zdalnie wykonać kod (RCE) w wtyczce Cwicly w wersjach do 1.4.4.

Wtyczka Mayosis Core w wersjach do 5.4.7 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Osoba atakująca bez logowania może wstrzyknąć złośliwe skrypty do stron.

Wtyczka FormyChat w wersjach do 2.15.7 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji.

Wtyczka Vavo Core w wersjach do 2.3.0 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Osoba atakująca bez logowania może dołączyć lokalne pliki z serwera.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w oprogramowaniu SSL Zen w wersjach do 4.7.43.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w Quill Forms w wersjach do 5.7.1.

Nieuwierzytelniona podatność Broken Access Control w WP Sort Order w wersjach do 1.3.5.

Wtyczka Piotnet Addons For Elementor Pro w wersjach do 7.1.67 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu przesłanie dowolnego pliku na serwer.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w motywie The Grid firmy ThemeOne umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 2.8.0.

Niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu (command injection) w Microsoft Copilot pozwala nieautoryzowanemu atakującemu na ujawnienie informacji przez sieć.