Katalog podatności CVE

Wtyczka Omnipress dla WordPressa do wersji 1.6.5 włącznie jest podatna na przechowywany atak XSS poprzez przesyłanie plików SVG z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy dostępie do pliku SVG.

Wtyczka Auto Thumbnailer dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji uploadThumb() we wszystkich wersjach do 1.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Featured Image via URL dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku funkcji walidacji typu pliku we wszystkich wersjach do 0.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka EPROLO Dropshipping dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w punktach końcowych AJAX wp_ajax_eprolo_delete_tracking i wp_ajax_eprolo_save_tracking_data w wersjach do 2.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym modyfikowanie i usuwanie danych śledzenia.

Wtyczka Hide Categories Or Products On Shop Page dla WordPressa do wersji 1.0.7 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji save_data_hcps(). Umożliwia to nieuwierzytelnionym atakującym zmianę ustawień wtyczki, jeśli nakłonią administratora do kliknięcia w link.

Wtyczka FitVids dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez ustawienia administratora we wszystkich wersjach do 4.0.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony. Dotyczy to tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka Time Sheets dla WordPressa do wersji 2.1.3 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce na kilku punktach końcowych. Umożliwia to nieuwierzytelnionym atakującym wykonanie różnych działań, jeśli nakłonią administratora do kliknięcia w link.

Protokół kodu weryfikacyjnego KDE Connect przed 2025-04-18 używa tylko 8 znaków, co umożliwia ataki brute-force. Dotyczy to KDE Connect przed 1.33.0 na Androidzie, KDE Connect przed 25.04 na desktopie, KDE Connect przed 0.5 na iOS, Valent przed 1.0.0.alpha.47 oraz GSConnect przed 59.

Wtyczka SSP Debug do WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.0.0 włącznie. Wynika to z przechowywania logów błędów PHP w przewidywalnej, dostępnej przez sieć lokalizacji (wp-content/uploads/ssp-debug/ssp-debug.log) bez jakichkolwiek kontroli dostępu. Umożliwia to nieuwierzytelnionym atakującym przeglądanie poufnych informacji debugowania, w tym pełnych adresów URL, adresów IP klientów, ciągów User-Agent, identyfikatorów użytkowników WordPress i wewnętrznych ścieżek systemu plików.

Wtyczka Norby AI dla WordPressa do wersji 1.0.3 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji aktualizacji ustawień. Umożliwia to nieuwierzytelnionym atakującym zmianę ustawień wtyczki i wstrzyknięcie złośliwych skryptów, jeśli nakłonią administratora do kliknięcia w link.

Wtyczka CRM Memberships dla WordPressa jest podatna na eskalację uprawnień poprzez reset hasła we wszystkich wersjach do 2.6 włącznie. Brak odpowiednich kontroli autoryzacji i uwierzytelnienia w akcji AJAX `ntzcrm_changepassword` umożliwia nieautoryzowanym atakującym resetowanie haseł użytkowników.

Wtyczka CRM Memberships dla WordPressa jest podatna na nieautoryzowane tworzenie tagów członkostwa z powodu braku sprawdzenia uprawnień w funkcji 'ntzcrm_add_new_tag' we wszystkich wersjach do 2.5 włącznie. Umożliwia to nieuwierzytelnionym atakującym tworzenie dowolnych tagów członkostwa i modyfikację konfiguracji CRM, która powinna być ograniczona do administratorów.

Wtyczka SurveyFunnel – Survey Plugin dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode 'surveyfunnel_lite_survey' w wersjach do 1.1.5 włącznie z powodu niedostatecznej sanitizacji wejścia i braku escapingu na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

W ColorOS istnieje błąd w weryfikacji źródeł instalacji aplikacji. W określonych warunkach mechanizm wykrywania ryzyka może zawieść, co może pozwolić na instalację złośliwych aplikacji bez odpowiedniego ostrzeżenia.

Wtyczka Demo Importer Plus dla WordPressa jest podatna na nieautoryzowane przesyłanie plików we wszystkich wersjach do 2.0.6 włącznie. Problem wynika z niewystarczającej walidacji typów plików, co pozwala na ominięcie sanitizacji przez pliki z podwójnymi rozszerzeniami, które są akceptowane jako ważne pliki WXR.

Podatność w interfejsie użytkownika przeglądarki Microsoft Edge dla systemu iOS umożliwia nieautoryzowanemu atakującemu przeprowadzenie ataku typu spoofing (podszywanie się) w sieci.

Wykryto podatność w youlaitech youlai-mall w wersjach 1.0.0 i 2.0.0. Dotyczy funkcji getMemberById w pliku /mall-ums/app-api/v1/members/. Manipulacja argumentem memberId prowadzi do niewłaściwej kontroli dostępu. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wersje Advantech iView 5.7.05.7057 i wcześniejsze nieprawidłowo sanitizują żądania SNMP v1 trap (port 162), co może umożliwić atakującemu wstrzyknięcie poleceń SQL.

Podatność na trwały atak XSS w interfejsie zarządzania urządzeń WatchGuard Firebox, wykorzystująca konfigurację IPS. Uwierzytelniony zdalny atakujący z uprawnieniami administratora może wykonać dowolny kod JavaScript w interfejsie zarządzania innego użytkownika.

LaraDashboard w wersji 2.3.0 i wcześniejszych ma lukę w procesie resetowania hasła, który ufa nagłówkowi Host. To pozwala atakującym na przekierowanie tokena resetowania administratora do serwera kontrolowanego przez atakującego.