Katalog podatności CVE

Biblioteka amazing_print (commit dc890df) zawiera podatność na wstrzyknięcie kodu Ruby w metodzie AwesomeMethodArray#grep. Specjalnie nazwana metoda zawierająca składnię interpolacji Ruby może zostać wstawiona do dynamicznie konstruowanego stringa eval, gdy grep jest wywoływany z blokiem, co prowadzi do wykonania kodu Ruby w procesie hosta. Eksploatacja wymaga ścieżki aplikacji, która pozwala atakującemu wpływać na dynamiczne nazwy metod.

Wtyczka Gutenverse Companion w wersji 2.5.1 i wcześniejszych zawiera podatność na nieuwierzytelnione podrabianie żądań po stronie serwera (SSRF). Podatność ta pozwala atakującemu bez uwierzytelnienia wysyłać żądania z serwera do wewnętrznych zasobów.

Wtyczka Smart Online Order for Clover w wersji 1.6.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Wtyczka Colissimo Officiel : Méthodes de livraison pour WooCommerce w wersji 2.10.0 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.

Wtyczka Nokri w wersjach do 1.6.6 zawiera podatność polegającą na nieuwierzytelnionym złamaniu kontroli dostępu (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do funkcji lub danych, które powinny być chronione.

Nieuwierzytelniona podatność Broken Access Control w wtyczce Anti Spam and list cleaner – AcyChecker w wersjach 2.0.0 i starszych.

Podatność Cross Site Scripting (XSS) z uprawnieniami klienta w wtyczce WpBookingly w wersjach 1.3.2 i starszych.

Wtyczka Directories Pro w wersji 2.0.5 i wcześniejszych zawiera podatność na eskalację uprawnień użytkownika z rolą subskrybenta. Użytkownik o niskich uprawnieniach może podnieść swoje uprawnienia do wyższego poziomu.

Nieuwierzytelniona podatność Broken Access Control w dodatku Contact Form 7 – PayPal & Stripe Add-on w wersjach 2.5.1 i starszych.

Wtyczka Reviewer w wersji 3.14.2 i wcześniejszych zawiera podatność na wstrzyknięcie SQL (SQL Injection) dla użytkowników z rolą subskrybenta. Użytkownik o niskich uprawnieniach może wykonać złośliwe zapytania SQL do bazy danych.

Wtyczka Biagiotti Core w wersji 2.1.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Local File Inclusion (LFI). Atakujący bez logowania może odczytać dowolne pliki z serwera, takie jak pliki konfiguracyjne lub dane użytkowników.

Wtyczka Foton Core w wersji 1.1.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Local File Inclusion (LFI). Atakujący bez logowania może odczytać dowolne pliki z serwera, takie jak pliki konfiguracyjne lub dane użytkowników.

Wtyczka MultiParcels Shipping For WooCommerce w wersji 1.30.36 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.

Podatność Server Side Request Forgery (SSRF) z uprawnieniami subskrybenta w wtyczce Vehica Core w wersjach 1.0.104 i starszych.

Nieuwierzytelnione lokalne dołączanie plików (LFI) w wtyczce Barista w wersjach do 2.5.1. Atakujący bez logowania może dołączyć lokalne pliki z serwera.

Wtyczka Church Admin w wersjach do 5.1.1 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.

Wtyczka Everest Backup w wersjach do 2.3.12 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.

Podatność Cross Site Scripting (XSS) z uprawnieniami subskrybenta w wtyczce Accordion w wersjach 3.0.6 i starszych.