Katalog podatności CVE

Wtyczka CubeWP w wersjach do 1.1.30 zawiera podatność na SQL Injection z poziomu subskrybenta. Użytkownik z rolą subskrybenta może wstrzyknąć złośliwe zapytania SQL.

Wtyczka Service Finder Booking w wersjach do 6.2 zawiera podatność na eskalację uprawnień z poziomu subskrybenta. Użytkownik z rolą subskrybenta może uzyskać wyższe uprawnienia.

Podatność Broken Access Control w Service Finder Booking do wersji 6.2 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Do Lasso w wersjach do 358. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Podatność na przechodzenie po ścieżkach (Path Traversal) w wtyczce Do Lasso w wersjach do 358, wykorzystywana przez użytkownika z rolą Subscriber. Pozwala na dostęp do plików poza katalogiem głównym.

Podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Do Lasso w wersjach do 358, wykorzystywana przez użytkownika z rolą Subscriber. Pozwala na manipulację zapytaniami do bazy danych.

Podatność Insecure Direct Object References (IDOR) w Do Lasso do wersji 358 pozwala nieuwierzytelnionemu atakującemu na dostęp do obiektów bez autoryzacji.

Nieuwierzytelniona podatność na wstrzykiwanie obiektów PHP w wtyczce Headless Single Sign On w wersjach do 1.6. Atakujący może wstrzyknąć złośliwe obiekty PHP bez logowania.

Nieuwierzytelniona podatność na obejście zabezpieczeń w wtyczce Headless Single Sign On w wersjach do 1.6. Atakujący może ominąć mechanizmy bezpieczeństwa bez logowania.

Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Web Directory Free w wersjach do 1.7.13. Atakujący może wykonać dowolne zapytania SQL bez logowania.

Podatność Broken Authentication w OAuth Single Sign On (SSO) (OAuth Client) w wersjach do 7.0.0 pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów uwierzytelniania.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Business Directory w wersjach do 6.4.25. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Maspik – Spam blacklist w wersjach do 2.9.1. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Booktics (Arraytics) w wersjach do 1.0.22. Umożliwia ślepe wstrzyknięcie SQL (Blind SQL Injection).

Podatność SQL Injection w WP Directory Kit w wersjach do 1.5.4 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego kodu SQL.

Podatność Broken Access Control w Tourfic do wersji 2.23.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Podatność zdalnego wykonania kodu (RCE) w QA Analytics w wersjach do 5.2.0.0 pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na serwerze.

Nieuwierzytelniona eskalacja uprawnień w wtyczce MStore API w wersjach do 4.20.0. Atakujący bez logowania może podnieść swoje uprawnienia.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Nieuwierzytelnione wstrzyknięcie SQL (SQL Injection) w wtyczce WP Directory Kit w wersjach do 1.5.4. Atakujący bez logowania może manipulować zapytaniami do bazy danych.