Katalog podatności CVE

Wtyczka Product Input Fields dla WooCommerce w WordPressie jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień w funkcji handle_downloads() w wersjach do 1.2.6 włącznie. Umożliwia to nieautoryzowanym atakującym pobieranie plików z podatnej usługi.

Wtyczka Email Templates dla WordPressa jest podatna na wstrzykiwanie HTML w wersjach do 1.3 włącznie. Umożliwia to atakującym prezentowanie formularzy phishingowych lub przeprowadzanie ataków typu cross-site request forgery przeciwko administratorom witryn.

Wtyczka Gallery Images Ape dla WordPressa jest podatna na deaktywację dowolnej wtyczki w wersjach do 2.0.6 włącznie. Umożliwia to uwierzytelnionym atakującym, niezależnie od poziomu uprawnień, deaktywację dowolnej wtyczki na stronie, w tym tych niezbędnych do funkcjonowania lub bezpieczeństwa witryny.

Wtyczka Pretty Links dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez różne nagłówki IP oraz nagłówek referer w wersjach do 2.1.9 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia w funkcji track_link. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka DELUCKS SEO dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez funkcję saveSettings(), która nie miała odpowiednich kontroli uprawnień w wersjach do 2.1.7 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które są wykonywane, gdy ofiara uzyskuje dostęp do strony.

Wtyczka Contact Form & SMTP Plugin autorstwa PirateForms dla WordPressa jest podatna na wstrzykiwanie HTML w pliku ‘public/class-pirateforms-public.php’ w wersjach do 2.5.1 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnego HTML w wiadomościach e-mail.

Motywy Mesmerize i Materialis dla WordPressa są podatne na zmianę opcji przez uwierzytelnionych użytkowników w wersjach do 1.6.89 (Mesmerize) i 1.0.172 (Materialis). Problem wynika z funkcji 'companion_disable_popup', która sprawdza jedynie nonce podczas przesyłania danych użytkownika do funkcji 'update_option'.

Wtyczka WordPress Coming Soon Page & Maintenance Mode jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametry logo_width, logo_height, rcsp_logo_url, home_sec_link_txt, rcsp_headline oraz rcsp_description w wersjach do 1.8.1 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

W urządzeniu D-Link DIR-842V2 w wersji 1.0.3 wykryto podatność na wstrzykiwanie poleceń w funkcji diagnostycznej iperf3. Atakujący może zdalnie wykonać dowolne polecenia systemowe.

W urządzeniu D-Link DIR-842V2 w wersji oprogramowania 1.0.3 wykryto podatność umożliwiającą atakującemu wykonanie dowolnych poleceń systemowych poprzez zaimportowanie spreparowanego pliku.

System oceny wykładowców Sourcecodester w wersji 1.0 jest podatny na wykonanie dowolnego kodu poprzez plik ip/eval/ajax.php?action=update_user.

Kiwi TCMS, system zarządzania testami, miał luki w walidacji przesyłanych plików, co umożliwiało przesyłanie potencjalnie niebezpiecznych plików i wykonywanie dowolnego JavaScriptu w przeglądarce. Dodatkowo, dyrektywa `proxy_pass` w Nginx mogła usuwać niektóre nagłówki, co osłabiało zabezpieczenia Kiwi TCMS działającego za reverse proxy.

Podatność w narzędziu CLI notation umożliwia atakującemu, który przejął kontrolę nad rejestrem, wprowadzenie użytkowników w błąd podczas weryfikacji artefaktów. Problem został naprawiony w wersji v1.0.0-rc.6.

W platformie Sitecore Experience Platform (XP) w wersji 9.3 odkryto podatność na zdalne wykonanie kodu (RCE), która występuje w komponencie /Applications/Content%20Manager/Execute.aspx?cmd=convert&mode=HTML. Wymagana jest autoryzacja, aby wykorzystać tę lukę.

W platformie Sitecore Experience (XP) w wersji 9.3 odkryto podatność na zdalne wykonanie kodu (RCE), która wymaga uwierzytelnienia i występuje w komponencie /sitecore/shell/Invoke.aspx.

W MVC Device Simulator w platformie Sitecore Experience (XP), Experience Manager (XM) oraz Experience Commerce (XC) w wersjach od 9.0 do 13.0 występuje problem, który pozwala atakującym na obejście reguł autoryzacji.

fast-xml-parser to otwarty parser XML w czystym JavaScript, który pozwala na używanie znaków specjalnych w nazwach encji, które nie są odpowiednio zabezpieczone. Atakujący może wykorzystać tę lukę do przeprowadzenia ataków typu denial of service (DoS) poprzez stworzenie nazw encji, które generują nieefektywne wyrażenia regularne.

CloudPanel w wersji 2.2.2 umożliwia atakującym wykonanie ataku typu path traversal.

Workflow `Release PR Merged` w repozytorium github taosdata/grafanaplugin jest podatny na atak typu injection, co umożliwia wykonanie dowolnego kodu w kontekście akcji GitHub. Problem wynika z niebezpiecznego użycia `${{ github.event.pull_request.title }}` w poleceniu bash w workflow.

Urządzenia Netgear D6220, D8500, R6700 i R6900 z określonymi wersjami oprogramowania są podatne na wstrzykiwanie poleceń. Atakujący z dostępem do zarządzania przez sieć mogą wstrzykiwać polecenia w parametrach żądania POST, uzyskując uprawnienia powłoki.