Katalog podatności CVE

Podatność umożliwia użytkownikowi z rolą subskrybenta przeprowadzenie ataku typu Denial of Service (DoS) we wtyczce WPBase Cache w wersjach do 5.5.6 włącznie.

Podatność braku autoryzacji we wtyczce Autoship Cloud for WooCommerce Subscription Products (autoship-cloud) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.17.1.

Wtyczka Wappointment w wersjach do 2.7.7 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), która pozwala nieuwierzytelnionemu atakującemu na dostęp do zasobów, do których nie powinien mieć uprawnień.

Wtyczka Piotnet Addons For Elementor w wersjach do 7.1.71 włącznie pozwala użytkownikowi z rolą Contributor na pobieranie dowolnych plików z serwera.

Wtyczka App for Cloudflare® w wersjach do 1.10.1 włącznie zawiera podatność Broken Access Control, która pozwala użytkownikowi z rolą Subscriber na wykonanie działań wykraczających poza jego uprawnienia.

Wtyczka WC Fields Factory w wersjach do 4.1.12 włącznie zawiera podatność Cross Site Scripting (XSS), która pozwala użytkownikowi z rolą Subscriber na wstrzyknięcie złośliwego skryptu.

Wtyczka Ohio Extra w wersjach do 3.6.8 włącznie zawiera podatność Cross Site Scripting (XSS), która pozwala użytkownikowi z rolą Subscriber na wstrzyknięcie złośliwego skryptu.

Wtyczka JetElements For Elementor w wersjach do 2.9.2.2 włącznie zawiera podatność Cross-site Scripting (XSS) typu Stored, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

W aplikacji SourceCodester Simple Student Information System 1.0 wykryto podatność w nieznanym fragmencie przetwarzania pliku /register.php w komponencie Profile Field Handler. Manipulacja argumentami firstname/lastname prowadzi do cross site scripting, a atak może być zainicjowany zdalnie.

Wtyczka Delete All Comments of wordpress w wersjach do 7.1 zawiera podatność braku autoryzacji, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to atakującemu na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Wtyczka Zero Spam w wersjach do 5.7.11 włącznie zawiera podatność Bypass, która pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów ochronnych.

Wtyczka Motors od StylemixThemes w wersjach do 1.4.124 włącznie zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.

Wtyczka Advanced Google reCAPTCHA w wersji 5.40 i starszych zawiera podatność polegającą na nieuwierzytelnionym złamaniu mechanizmu uwierzytelniania. Oznacza to, że osoba atakująca może obejść proces logowania bez podania prawidłowych danych uwierzytelniających.

W implementacji OIDC w Keycloak, w przepływie Device Authorization Grant, nie jest sprawdzany minimalny poziom uwierzytelniania wymagany przez konfigurację klienta. Umożliwia to atakującemu, który zdobył hasło użytkownika, ominięcie obowiązkowego uwierzytelniania wieloskładnikowego i uzyskanie nieautoryzowanego dostępu do Keycloak Admin REST API.

Wtyczka elegro Crypto Payment dla WordPressa do wersji 1.0.1 nie wymaga skonfigurowania wspólnego sekretu przed zaufaniem przychodzącym powiadomieniom o płatności. Pozwala to nieuwierzytelnionym atakującym na fałszowanie potwierdzeń płatności i zmianę statusu dowolnych zamówień w instalacjach, gdzie sekret pozostał domyślnie pusty.

Wtyczka File Media Renamer dla WordPressa do wersji 1.3 nie weryfikuje, czy żądający użytkownik ma uprawnienia do modyfikacji danego załącznika. Pozwala to każdemu użytkownikowi z uprawnieniami do przesyłania plików na zmianę nazw załączników należących do innych użytkowników, w tym administratorów, oraz na uszkodzenie powiązanych danych witryny, które odwoływały się do starej ścieżki pliku.

Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje płatności u dostawcy płatności podczas obsługi powrotu z hostowanego checkoutu oraz nie sprawdza statusu ani kwoty płatności. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie zamówień jako opłaconych bez dokonania jakiejkolwiek płatności.

Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje autentyczności przychodzących powiadomień od dostawcy płatności i domyślnie ma wyłączoną tę weryfikację. Pozwala to nieuwierzytelnionym atakującym na oznaczenie nieopłaconego zamówienia jako opłaconego lub anulowanie/zwrócenie istniejącego zamówienia.

Wtyczka Fast Courier dla WordPressa do wersji 5.2.3 nie ogranicza nieuwierzytelnionej trasy REST, która zapisuje dane realizacji zamówień. Pozwala to nieuwierzytelnionym atakującym na nadpisanie statusu kuriera i danych śledzenia widocznych dla klientów dowolnego zamówienia WooCommerce poprzez podanie jego identyfikatora.

Wtyczka Slider Pro dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani autoryzacji na jednej z akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie tytułów, fragmentów i permalinków niepublicznych wpisów, w tym szkiców, oczekujących, zaplanowanych, prywatnych i usuniętych, a także rewizji wpisów i metadanych multimediów.