Katalog podatności CVE

Podatność CVE-2023-38400 dotyczy motywu Enfold - Responsive Multi-Purpose Theme, który ma problem z niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych, co prowadzi do podatności na ataki typu Cross-site Scripting (XSS). Dotyczy to wersji od n/a do 5.6.4.

Podatność CVE-2023-46086 dotyczy wtyczki affiliate-toolkit dla WordPressa, która umożliwia atak typu Cross-site Scripting (XSS) poprzez niewłaściwą neutralizację danych wejściowych podczas generowania stron internetowych. Problem ten występuje w wersjach od n/a do 3.4.3.

Podatność CVE-2023-44150 dotyczy wtyczki ProfilePress Membership Team, która umożliwia ujawnienie wrażliwych informacji osobom nieuprawnionym. Problem ten występuje w wersjach od n/a do 4.13.2 wtyczki Paid Membership Plugin, Ecommerce, Registration Form, Login Form, User Profile oraz Restrict Content.

Podatność CVE-2023-40211 dotyczy wtyczki Post Grid Combo – 36+ Gutenberg Blocks, która naraża wrażliwe informacje na dostęp nieautoryzowanych użytkowników. Problem ten występuje w wersjach od n/a do 2.2.50.

W podatności CVE-2023-48742 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w License Manager for WooCommerce. Problem dotyczy wersji od n/a do 2.2.10.

Podatność typu Cross-Site Request Forgery (CSRF) w Schema Pro firmy Brainstorm Force US LLC umożliwia przeprowadzenie ataku CSRF. Problem ten dotyczy wersji Schema Pro od n/a do 2.7.7.

Podatność CSRF w wtyczkach Really Simple Plugins Complianz oraz Complianz Premium umożliwia atak typu Cross-Site Scripting (XSS). Problem dotyczy wersji Complianz od n/a do 6.4.4 oraz Complianz Premium od n/a do 6.4.6.1.

Podatność CVE-2023-38474 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce Campaign Monitor dla WordPress. Umożliwia to atak typu Reflected XSS, który może wpłynąć na użytkowników korzystających z wersji od n/a do 2.8.12.

W podatności CVE-2023-48326 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych, co prowadzi do ataków typu Cross-site Scripting (XSS) w menedżerze wydarzeń Pixelite. Problem ten dotyczy wersji menedżera wydarzeń od n/a do 6.4.5.

Podatność CVE-2023-48322 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w wtyczce eDoc Employee Job Application dla WordPressa, co prowadzi do możliwości ataku typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.13.

Podatność w aiohttp pozwala atakującemu na modyfikację żądania HTTP lub stworzenie nowego żądania, jeśli kontroluje wersję HTTP. Problem ten występuje tylko w przypadku, gdy atakujący ma możliwość kontrolowania wersji HTTP żądania.

W oprogramowaniu Zumtobel Netlink CCD Onboard w wersji firmware 3.80 wykryto przepełnienie bufora w komponencie NetlinkWeb::Information::SetDeviceIdentification. Podatność ta może pozwolić atakującemu na zdalne wykonanie kodu lub spowodowanie awarii systemu.

W podatności CVE-2023-6201 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach systemu operacyjnego, co pozwala na wstrzyknięcie poleceń. Problem dotyczy systemu Univera Computer System Panorama w wersjach przed 8.0.

Podatność CVE-2023-6151 dotyczy nieprawidłowego użycia uprzywilejowanych interfejsów API w module e-municipalności ESKOM, co pozwala na zbieranie danych dostarczonych przez użytkowników. Problem ten dotyczy wersji modułu przed 105.

Podatność CVE-2023-6150 dotyczy nieprawidłowego użycia uprzywilejowanych interfejsów API w module e-municipalności ESKOM, co pozwala na zbieranie danych dostarczonych przez użytkowników. Problem ten dotyczy wersji modułu przed 105.

Wtyczka BookingPress dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu niewystarczającej walidacji plików w funkcji 'bookingpress_process_upload' w wersjach do 1.0.76 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi przesyłanie dowolnych plików na serwerze dotkniętej witryny.

Podatność typu Path Traversal w kamerze IP Neutron umożliwia dostęp do plików poprzez wykorzystanie absolutnych ścieżek. Problem dotyczy wersji kamery przed b1130.1.0.1.

W projekcie wasm-micro-runtime w wersji 1.2.3 odkryto podatność przepełnienia sterty w funkcji wasm_loader_prepare_bytecode. Zdalny atakujący może wykorzystać tę lukę do spowodowania odmowy usługi (DoS).

Wtyczka UserPro dla WordPressa jest podatna na eskalację uprawnień w wersjach do 5.1.4 włącznie, z powodu niewystarczających ograniczeń w funkcji 'userpro_update_user_profile'. Umożliwia to uwierzytelnionym atakującym, posiadającym minimalne uprawnienia, takie jak subskrybent, modyfikację swojej roli użytkownika poprzez dostarczenie parametru 'wp_capabilities' podczas aktualizacji profilu.

Wtyczka UserPro dla WordPressa jest podatna na nieautoryzowany dostęp do danych, ich modyfikację oraz utratę danych z powodu braku weryfikacji uprawnień w wielu funkcjach we wszystkich wersjach do i włącznie z 5.1.1. Umożliwia to nieautoryzowanym atakującym dodawanie, modyfikowanie lub usuwanie metadanych użytkowników oraz opcji wtyczki.