Katalog podatności CVE

Wtyczka PixelYourSite – Your smart PIXEL (TAG) & API Manager dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 11.1.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji adminEnableGdprAjax(). Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień RODO poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania czynności, takiej jak kliknięcie linku.

Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.0.38 włącznie, poprzez funkcję save_refund_request(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej składanie wniosków o zwrot dla dowolnych zamówień, których nie posiadają.

Podatność wtyczki Meta Tag Manager WordPress przed wersją 3.3. Nie ogranicza ona, które role mogą tworzyć meta tagi http-equiv refresh, co może umożliwić nieautoryzowane przekierowania.

Wtyczka WordPress Welcart e-Commerce (wersje do 2.11.22) jest podatna na przechowywany cross-site scripting (XSS) poprzez ustawienie 'order_mail', z powodu niewystarczającej sanityzacji pola order_mail i braku escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Editor może wstrzyknąć dowolne skrypty przez stronę General Setting.

Wtyczka NS Maintenance Mode for WP WordPress do wersji 1.3.1 nie posiada autoryzacji w funkcji eksportu subskrybentów, co pozwala nieuwierzytelnionym atakującym na pobranie listy subskrybentów zawierającej ich nazwy i adresy e-mail.

Urządzenia Mercku M6a w wersji do 2.1.0 umożliwiają logowanie się jako root przez TELNET za pomocą hasła administratora webowego. To stwarza poważne zagrożenie dla bezpieczeństwa systemu.

W urządzeniach Mercku M6a do wersji 2.1.0 system uwierzytelniania używa przewidywalnych tokenów sesji opartych na znacznikach czasu.

Urządzenia Mercku M6a do wersji 2.1.0 pozwalają na sesje TELNET poprzez żądanie router.telnet.enabled.update przez administratora.

W urządzeniach Mercku M6a do wersji 2.1.0 tokeny sesji pozostają ważne przez co najmniej miesiące w niektórych przypadkach.

Urządzenia Mercku M6a w wersji do 2.1.0 umożliwiają zmianę hasła za pomocą ataków CSRF w intranecie. To stwarza ryzyko nieautoryzowanej zmiany haseł przez złośliwe podmioty.

Hikvision CSMP (Comprehensive Security Management Platform) iSecure Center do 2024-08-01 umożliwia wykonanie polecenia w ramach $( ) w danych JSON /center/api/installation/detection, co zostało wykorzystane w atakach w 2024 i 2025 roku.

Hikvision CSMP (Comprehensive Security Management Platform) iSecure Center do 2023-06-25 umożliwia przesyłanie plików poprzez wykorzystanie przejścia katalogowego w katalogu /center/api/files. Wykorzystanie tej podatności miało miejsce w 2024 i 2025 roku.

Podatność w Oracle Financial Services Analytical Applications Infrastructure (komponent System Configuration) w wersjach 8.0.7.9, 8.0.8.7 i 8.1.2.5. Nieuwierzytelniony atakujący z dostępem sieciowym przez HTTP może spowodować zawieszenie lub powtarzalną awarię aplikacji (DoS).

W rozszerzeniach Mediawiki - Thanks Extension i Mediawiki - Growth Experiments Extension występuje podatność nieprawidłowych domyślnych uprawnień, która pozwala na dostęp do funkcjonalności nieodpowiednio ograniczonej przez listy ACL. Problem dotyczy wersji od 1.43 przed 1.44.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) dotyczy wersji 7.1.12 i 7.2.2. Łatwo wykorzystywalna podatność pozwala atakującemu z wysokimi uprawnieniami i dostępem do infrastruktury, na której działa Oracle VM VirtualBox, na naruszenie bezpieczeństwa Oracle VM VirtualBox. Ataki mogą znacząco wpływać na dodatkowe produkty (zmiana zakresu). Udane ataki mogą prowadzić do przejęcia Oracle VM VirtualBox. CVSS 3.1 Base Score 8.2 (wpływ na poufność, integralność i dostępność). Wektor CVSS: (CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H).

Podatność w produkcie Oracle VM VirtualBox (komponent Core) dotyczy wersji 7.1.12 i 7.2.2. Uwierzytelniony atakujący z wysokimi uprawnieniami może wykorzystać tę podatność lokalnie, co może prowadzić do nieautoryzowanego dostępu do krytycznych danych lub wszystkich danych dostępnych w VirtualBox.

Podatność w produkcie Oracle VM VirtualBox (komponent Core) dotyczy wersji 7.1.12 i 7.2.2. Uwierzytelniony atakujący z wysokimi uprawnieniami może wykorzystać tę podatność lokalnie, co może prowadzić do nieautoryzowanego dostępu do krytycznych danych lub wszystkich danych dostępnych w VirtualBox.

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) w wersjach 7.1.12 i 7.2.2. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i zalogowanemu do infrastruktury, na której działa Oracle VM VirtualBox, na kompromitację produktu. Skuteczny atak może doprowadzić do przejęcia Oracle VM VirtualBox, a ataki mogą znacząco wpłynąć na dodatkowe produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) w wersjach 7.1.12 i 7.2.2. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i zalogowanemu do infrastruktury, na której działa Oracle VM VirtualBox, na kompromitację produktu. Skuteczny atak może doprowadzić do przejęcia Oracle VM VirtualBox, a ataki mogą znacząco wpłynąć na dodatkowe produkty (zmiana zakresu).

Podatność w produkcie Oracle VM VirtualBox (komponent: Core) w wersjach 7.1.12 i 7.2.2. Łatwo eksploatowalna podatność pozwala atakującemu z wysokimi uprawnieniami i zalogowanemu do infrastruktury, na której działa Oracle VM VirtualBox, na kompromitację produktu. Skuteczny atak może doprowadzić do przejęcia Oracle VM VirtualBox, a ataki mogą znacząco wpłynąć na dodatkowe produkty (zmiana zakresu).