Katalog podatności CVE

W oprogramowaniu SourceCodester Pet Grooming Management Software w wersji 1.0 odkryto podatność, która dotyczy nieznanej funkcjonalności pliku /admin/print_inv.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

System School Management System 1.0 firmy ProjectsAndPrograms ma podatność SQL injection w pliku owner_panel/fetch-data/select-students.php. Manipulacja argumentem select umożliwia zdalny atak. Exploit został opublikowany.

W systemie rezerwacji hotelowej SourceCodester Online Hotel Reservation System w wersji 1.0 wykryto podatność. Manipulacja argumentem 'address' w pliku /admin/updateaddress.php prowadzi do wstrzykiwania SQL. Atak może być przeprowadzony zdalnie.

W aplikacji itsourcecode Open Source Job Portal 1.0 wykryto podatność w pliku /jobportal/admin/category/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W PHPGurukul Small CRM w wersji 4.0 zidentyfikowano słabość w nieznanej funkcji pliku /forgot-password.php. Manipulacja argumentem email może prowadzić do wstrzyknięcia SQL.

Wtyczka Professional Contact Form dla WordPressa we wszystkich wersjach do 1.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji watch_for_contact_form_submit. Umożliwia to nieuwierzytelnionym atakującym wywołanie wysyłki testowego e-maila poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka Trust Reviews dla Google, Tripadvisor, Yelp, Airbnb i innych platform dla WordPressa we wszystkich wersjach do 1.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji feed_save. Umożliwia to nieuwierzytelnionym atakującym tworzenie lub modyfikację wpisów feedu poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka cForms – Light speed fast Form Builder dla WordPressa we wszystkich wersjach do 3.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji cforms_api. Umożliwia to nieuwierzytelnionym atakującym modyfikację formularzy i ich ustawień poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka HidePost dla WordPressa we wszystkich wersjach do 2.3.8 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce na stronie ustawień options.php. Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

Wtyczka Sync Feedly dla WordPressa (wszystkie wersje do 1.0.1 włącznie) jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji crsf_cron_job_func. Nieuwierzytelniony atakujący może wywołać synchronizację treści z Feedly, potencjalnie tworząc wiele postów poprzez sfałszowane żądanie, jeśli uda mu się nakłonić administratora do kliknięcia linku.

Wtyczka VM Menu Reorder dla WordPressa we wszystkich wersjach do 1.0.0 włącznie jest podatna na Cross-Site Request Forgery. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji vm_set_to_default. Umożliwia to nieuwierzytelnionym atakującym zresetowanie wszystkich ustawień kolejności menu poprzez sfałszowane żądanie, jeśli uda się nakłonić administratora do kliknięcia linku.

W systemie CourseSelectionSystem w wersji 1.0/5.php odkryto lukę bezpieczeństwa, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem csslc. Atak może być przeprowadzony zdalnie, a exploit został udostępniony publicznie.

W oprogramowaniu SourceCodester Pet Grooming Management Software 1.0 wykryto podatność typu cross-site request forgery (CSRF). Podatność dotyczy nieznanego fragmentu kodu i może być wykorzystana zdalnie.

Wtyczka WP Statistics – Najpopularniejsza wtyczka analityczna przyjazna prywatności dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nagłówek User-Agent we wszystkich wersjach do i włącznie z 14.5.4. Problem wynika z niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

W systemie Portabilis i-Educar do wersji 2.10 wykryto lukę w pliku /periodo-lancamento. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

W systemie Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /unificacao-aluno. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka Ninja Forms do WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 3.12.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji maybe_opt_in(), co umożliwia nieuwierzytelnionym atakującym włączenie zbierania statystyk użytkowania poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Ninja Forms do WordPressa jest podatna na Cross-Site Request Forgery (CSRF) w wersjach do 3.12.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce podczas eksportu plików CSV, co umożliwia nieuwierzytelnionym atakującym usunięcie tych plików, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Team Members dla WordPressa w wersjach do 5.3.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez pola imienia i nazwiska. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

IBM Storage TS4500 Library w wersjach 1.11.0.0 i 2.11.0.0 jest podatna na cross-site scripting. Nieuwierzytelniony atakujący może osadzić dowolny kod JavaScript w interfejsie Web UI, zmieniając jego zamierzone działanie.