Katalog podatności CVE

Mattermost nieprawidłowo weryfikuje pochodzenie połączenia websocket, co pozwala atakującemu typu MITM na dostęp do API websocketów.

Wtyczka FiveStarPlugins Restaurant Menu i Food Ordering w wersjach do 2.4.6 zawiera podatność typu Cross-Site Request Forgery (CSRF). Umożliwia to atakującym wysyłanie nieautoryzowanych żądań w imieniu użytkowników.

Wtyczka WP Social AutoConnect autorstwa Justina Kleina w wersjach do 4.6.1 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Podatność typu Cross Site Scripting (XSS) w Jaegertracing Jaeger UI przed wersją 1.31.0 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu za pomocą komponentu KeyValuesTable.

W urządzeniach Espressif ESP32 3.0 (ESP32_rev300 ROM) odkryto problem związany z atakiem EMFI na ECO3, który pozwala atakującemu na wpływanie na wartość PC na poziomie kontekstu CPU, niezależnie od statusu Secure Boot i Flash Encryption.

Wtyczka Faboba Falang dla WordPressa w wersjach do 1.3.39 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Wtyczka WooCommerce Shipping Multiple Addresses w wersjach do 3.8.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu użytkownika.

Wtyczka WooCommerce AutomateWoo w wersjach do 5.7.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Podatność CSRF w wtyczce WooCommerce Order Barcodes w wersjach do 1.6.4 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka Etoile Web Design Front End Users w wersjach do 3.2.24 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Wtyczka Floating Chat Widget dla WordPressa w wersjach przed 3.1.2 nie sanitizuje i nie ucieka niektórych swoich ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.

Wtyczka Membership dla WordPressa w wersjach przed 3.2.3 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka Autochat Automatic Conversation dla WordPress w wersjach do 1.1.7 nie sanitizuje i nie ucieka danych wejściowych użytkownika przed ich wyświetleniem na stronie, co prowadzi do ataku typu cross-site scripting.

Podatność CSRF w wtyczce WooCommerce Brands w wersjach do 1.6.49 umożliwia atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka myCred w wersjach do 2.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Może to umożliwić atakującym wykonanie nieautoryzowanych działań w imieniu użytkowników.

Wtyczka Zip Recipes w wersjach do 8.0.7 zawiera podatność typu Cross-Site Request Forgery (CSRF), która może być wykorzystana do nieautoryzowanego wykonywania działań w imieniu użytkownika.

Wtyczka WP PDF Generator od wpexperts.Io w wersjach do 1.2.2 zawiera podatność typu Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Aplikacje internetowe oparte na reaktywnym modelu, które wykorzystują Spring HATEOAS do generowania odpowiedzi opartych na hipermediach, mogą być narażone na złośliwe nagłówki przekazywane, jeśli nie są za zaufanym proxy lub nie mają innych mechanizmów do obsługi tych nagłówków.

Podatność CVE-2023-3700 dotyczy obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika w repozytorium GitHub alextselegidis/easyappointments przed wersją 1.5.0.

W systemie zarządzania salonem piękności Campcodes w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem 'category' w pliku add-product.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.