Katalog podatności CVE

W podatności CVE-2023-49182 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem dotyczy funkcji wyświetlania wszystkich postów według autorów, zagnieżdżonych kategorii i tytułów w wersjach od n/a do 2.7.10.

Podatność CVE-2023-49178 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce HDW Player (odtwarzacz wideo i galeria wideo), co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji wtyczki od n/a do 5.0.

Podatność CVE-2023-49177 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w pliku szablonu od wersji n/a do 4.9.0.

Podatność CVE-2023-49176 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce CodeRevolution WP Pocket URLs, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji WP Pocket URLs od n/a do 1.0.2.

Podatność CVE-2023-49170 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Forms by CaptainForm dla WordPress. Umożliwia to atak typu Reflected XSS w wersjach od n/a do 2.5.3.

Wtyczka Essential Real Estate dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'ajaxUploadFonts' w wersjach do 4.3.5 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie subskrybenta lub wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka E2Pdf dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji typów plików w funkcji 'import_action' w wersjach do 1.20.25 włącznie. Umożliwia to uwierzytelnionym atakującym, którym administrator wcześniej przyznał dostęp do wtyczki, przesyłanie dowolnych plików na serwer dotkniętej witryny.

W Google Chrome przed wersją 120.0.6099.109 występowała podatność typu use after free w CSS, która mogła zostać wykorzystana przez zdalnego atakującego do potencjalnego uszkodzenia pamięci sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w FedCM w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu, który przekona użytkownika do wykonania określonej interakcji z interfejsem, potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w WebRTC w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w silniku Blink w Google Chrome przed wersją 120.0.6099.109 umożliwia zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.

W Keycloak wykryto podatność na nieograniczone zużycie pamięci. Można ją wywołać w środowiskach z milionami tokenów offline (ponad 500 000 użytkowników, z których każdy ma co najmniej 2 zapisane sesje). Jeśli atakujący utworzy dwie lub więcej sesji użytkownika i otworzy zakładkę "consents" w interfejsie administratora, UI próbuje załadować ogromną liczbę sesji klientów offline, co prowadzi do nadmiernego zużycia pamięci i CPU i może doprowadzić do awarii całego systemu.

Podatność CVE-2023-48771 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w aplikacji File Gallery, co prowadzi do możliwości ataku typu Cross-site Scripting (XSS). Problem ten dotyczy wersji File Gallery od n/a do 1.8.5.4.

W podatności CVE-2023-48767 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w MyTube PlayList, co pozwala na ataki typu Cross-site Scripting (XSS). Problem dotyczy wersji MyTube PlayList od n/a do 2.0.3.

Podatność CVE-2023-48756 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Crocoblock JetBlocks dla Elementor, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji JetBlocks dla Elementor od n/a do 1.3.8.

Podatność CVE-2023-49813 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w wtyczce WP Photo Album Plus. Problem ten dotyczy wersji od n/a do 8.5.02.005.

Podatność CVE-2023-49771 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS). Problem ten występuje w wtyczce Smart External Link Click Monitor [Link Log] w wersjach od n/a do 5.0.2.

Podatność CVE-2023-49766 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych, co prowadzi do ataku typu Cross-site Scripting (XSS) w wtyczce Themefic Ultimate Addons dla Contact Form 7. Problem ten dotyczy wersji Ultimate Addons dla Contact Form 7 od n/a do 3.2.0.

Podatność CVE-2023-49172 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w BrainCert – HTML5 Virtual Classroom, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.30.

Podatność CVE-2023-49171 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w systemie Innovs HR – Kompleksowy System Zarządzania Zasobami Ludzkimi. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z tego systemu.