Katalog podatności CVE

Wtyczka Originality.ai AI Checker dla WordPress jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'ai_get_table' we wszystkich wersjach do 1.0.16 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać wszystkie dane z tabeli bazy danych wp_originalityai_log, które mogą obejmować tytuły postów, wyniki skanowania, wykorzystane kredyty i inne dane.

Wtyczka Microsoft Azure Storage dla WordPressa do wersji 4.5.1 włącznie ma brak sprawdzenia uprawnień w akcji AJAX 'azure-storage-media-replace', co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subscriber i wyższym na usuwanie dowolnych plików multimedialnych z biblioteki WordPressa. Atak wymaga dostępu do nonce, który jest dostępny dla wszystkich uwierzytelnionych użytkowników.

Wtyczka RapidResult dla WordPressa w wersjach do 1.2 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 's'. Wynika to z niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej współpracownika może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.

Wtyczka URL Shortener dla WordPressa do wersji 3.0.7 włącznie ma brak sprawdzenia uprawnień w funkcji verifyRequest, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subscriber i wyższym na modyfikację linków.

Wtyczka Time Clock – A WordPress Employee & Volunteer Time Clock Plugin dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez parametr 'data' we wszystkich wersjach do 1.3.1 włącznie. Wynika to z niewystarczającej sanityzacji wejściowych i braku escape'owania atrybutów dostarczanych przez użytkownika. Uwierzytelnieni atakujący z danymi logowania użytkownika Time Clock mogą wstrzykiwać dowolne skrypty na strony, które wykonają się po ich odwiedzeniu przez innych użytkowników.

Wtyczka WooCommerce Designer Pro dla WordPressa, używana przez motyw Pricom - Printing Company & Design Services, jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'wcdp_save_canvas_design_ajax' we wszystkich wersjach do 1.9.26 włącznie. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwer dotkniętej witryny.

W podatności CVE-2025-62868 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików PHP. Problem ten dotyczy wtyczki Edge CPT w wersjach od n/a do 1.4.

Wtyczka Jeg Kit for Elementor dla WordPressa w wersjach przed 2.7.0 nie sanityzuje zawartości plików SVG przesyłanych przez xmlrpc.php, co prowadzi do podatności typu cross-site scripting (XSS).

Oprogramowanie Request Tracker jest podatne na Stored XSS w funkcji parsowania zaproszeń kalendarzowych, która wyświetla dane zaproszenia bez sanityzacji HTML. Atakujący może wysłać spreparowany e-mail, aby wykonać kod JavaScript w kontekście zalogowanego użytkownika. Podatność dotyczy wersji od 5.0.4 do 5.0.8 oraz od 6.0.0 do 6.0.1.

Pleasanter zawiera podatność typu trwałe skrypty krzyżowe (stored XSS) w polach Body, Description i Comments, co pozwala atakującemu na wykonanie dowolnego skryptu w przeglądarce zalogowanego użytkownika.

Pleasanter zawiera podatność na trwały atak XSS w podglądzie załączników, co pozwala atakującemu na wykonanie dowolnego skryptu w przeglądarce zalogowanego użytkownika.

Wtyczka Orbit Fox dla WordPressa przed wersją 3.0.2 nie ogranicza adresów URL używanych w funkcji importu zdjęć stockowych, umożliwiając użytkownikowi podanie dowolnych adresów URL. Prowadzi to do podatności na fałszerstwo żądań po stronie serwera (SSRF), ponieważ użytkownik może zmusić serwer do uzyskania dostępu do dowolnego adresu URL.

Wtyczka PixelYourSite dla WordPressa przed wersją 11.1.2 nie waliduje niektórych parametrów URL przed użyciem ich do generowania ścieżek przekazywanych do funkcji, co pozwala administratorom na przeprowadzenie ataków LFI (Local File Inclusion).

Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.4.5 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'percentage'. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście przez względną ścieżkę. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz usuwanie dowolnych plików na docelowej maszynie.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność związaną z nieprawidłowym przypisaniem uprawnień do krytycznego zasobu. Atakujący z niskimi uprawnieniami może zmienić swoją rolę, uzyskując pełny dostęp do projektu.

W oprogramowaniu Productivity Suite w wersji 4.4.1.19 odkryto podatność na przejście przez względną ścieżkę (ZipSlip). Ta podatność umożliwia atakującemu, który może manipulować projektem produktywności, wykonanie dowolnego kodu na maszynie, na której projekt jest otwierany.

W oprogramowaniu Productivity Suite w wersji v4.4.1.19 odkryto słaby mechanizm odzyskiwania hasła dla zapomnianych haseł. Podatność ta pozwala atakującemu na odszyfrowanie zaszyfrowanego projektu, odpowiadając tylko na jedno pytanie dotyczące odzyskiwania.

W oprogramowaniu Productivity Suite w wersji v4.4.1.19 odkryto podatność związaną z nieograniczonym adresem IP. Umożliwia ona nieautoryzowanemu zdalnemu atakującemu interakcję z symulatorem PLC ProductivityService oraz odczyt, zapis lub usunięcie dowolnych plików i folderów na docelowej maszynie.

Podatność typu server-side request forgery (SSRF) w Azure Compute Gallery pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.