Katalog podatności CVE

Wtyczka Payflex Payment Gateway w wersjach do 2.7.1 włącznie zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej.

Wtyczka WPO365 w wersjach do 44.1 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać atakujący z uprawnieniami subskrybenta.

Wtyczka Xserver Migrator w wersjach do 1.6.6 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.

W systemie SourceCodester Simple Student Information System 1.0 znaleziono podatność w pliku searchquery.php. Manipulacja danymi prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

Podatność w Cloud Foundry UAA w punkcie końcowym tokenów OAuth umożliwia uwierzytelnionemu atakującemu, posiadającemu ważny token dostępu użytkownika, uzyskanie tokenu client_credentials z pełnymi uprawnieniami klienta OAuth, który wydał ten token. Dzieje się to poprzez przedstawienie tokenu użytkownika jako poświadczenia Bearer w żądaniu client_credentials zamiast sekretu klienta, ponieważ UAA nie weryfikuje, czy poświadczenie Bearer jest faktycznie poświadczeniem klienta.

Występuje uszkodzenie pamięci podczas przetwarzania żądań serwisowych.

Występuje uszkodzenie pamięci podczas wykonywania procedur usług systemowych z powodu niewłaściwego obsługiwania buforów danych wejściowych od użytkownika.

Występuje uszkodzenie pamięci, gdy wątki asynchroniczne jednocześnie uzyskują dostęp do współdzielonych danych liczników wydajności podczas wywołań FastRPC.

Występuje przejściowa odmowa usługi (DoS) podczas przetwarzania ciągłego polecenia odbioru z zerowym rozmiarem globalnego nadpisania konfiguracji.

Występuje uszkodzenie pamięci podczas przetwarzania obiektów rysunkowych o nieprawidłowym typie podczas wykonywania listy poleceń graficznych.

Występuje uszkodzenie pamięci podczas jednoczesnego dostępu i modyfikacji danych mapowania geograficznego bez odpowiedniej synchronizacji.

Występuje problem kryptograficzny podczas przetwarzania partycji nie-ELF, gdzie pomijane są kontrole uwierzytelniania i podpisu, co pozwala na montowanie i przetwarzanie niepodpisanych lub uszkodzonych obrazów.

Występuje uszkodzenie pamięci podczas wykonywania równoczesnych operacji na współdzielonych listach stron pamięci z powodu braku odpowiednich mechanizmów synchronizacji.

Podatność typu uszkodzenie pamięci występuje, gdy niezabezpieczony loader przepisuje tablice stron przed inicjalizacją pamięci bezpiecznej. Może to prowadzić do korupcji struktur pamięci używanych przez mechanizmy bezpieczeństwa.

W projekcie Employee-Movement-Tracking-and-Monitoring-Website-for-IOCL wykryto podatność SQL Injection w pliku /admin_transaction.php, wynikającą z manipulacji argumentem Username. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

Wtyczka ACPT (Premium) dla WordPressa w wersjach do 2.0.66 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję render. Brak kontroli uprawnień w endpointcie REST API tworzenia formularzy oraz niesandboxowane środowisko Twig umożliwiają uwierzytelnionym atakującym z rolą subskrybenta i wyższą wykonanie kodu na serwerze.

Wtyczka Post SMTP dla WordPressa w wersjach do 4.0.1 włącznie jest podatna na przechowywany XSS poprzez parametr 'user_email' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu.

Wtyczka Sitemovr w wersjach do 1.0.1 włącznie pozwala nieuwierzytelnionemu atakującemu na dostęp do wrażliwych danych. Brak bliższych szczegółów technicznych w opisie.

Wtyczka WP Migration Plugin DB & Files – WP Synchro w wersjach do 1.16.1 włącznie zawiera podatność pozwalającą na obejście uprawnień przez użytkownika z rolą subskrybenta. Szczegóły techniczne nie zostały podane w opisie.

Wtyczka Fluent Affiliate Pro w wersjach do 1.6.4 włącznie jest podatna na nieuwierzytelnione naruszenie kontroli dostępu. Szczegóły techniczne nie zostały podane w opisie.