Katalog podatności CVE

Wtyczka Miniorange OTP Verification with Firebase dla WordPressa jest podatna na eskalację uprawnień w wersjach do 3.6.0 włącznie, z powodu niebezpiecznej domyślnej wartości 'administrator' dla opcji 'default_user_role'. Umożliwia to nieautoryzowanym atakującym rejestrację użytkownika z uprawnieniami administratora, nawet jeśli formularz rejestracji jest wyłączony.

Wtyczka PublishPress Authors dla WordPressa ma podatność na nieautoryzowany dostęp do obiektów, co może prowadzić do eskalacji uprawnień lub przejęcia konta. Problem dotyczy wszystkich wersji do 4.7.1 włącznie i wynika z braku walidacji klucza 'authors-user_id'.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak XSS w komponencie /admin.php?page=photo. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

W systemie Piwigo w wersji 14.5.0 wykryto podatność na atak typu cross-site scripting (XSS) w komponencie /admin.php?page=album. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Opis, co prowadzi do wykonania dowolnych skryptów w przeglądarce ofiary.

Podatność CVE-2024-49268 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w sunburntkamel disconnected, co pozwala na ataki typu Reflected XSS. Problem ten dotyczy wersji od n/a do 1.3.0.

Wtyczka Nextend Social Login Pro dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 3.1.14 włącznie. Problem wynika z niewystarczającej weryfikacji użytkownika zwracanego przez token logowania społecznościowego.

Wtyczka WordPress Gallery Plugin – Limb Image Gallery w wersjach od n/a do 1.5.7 zawiera podatność na nieograniczone przesyłanie plików z niebezpiecznym typem, co umożliwia wstrzykiwanie kodu. Problem ten dotyczy wtyczki limb-gallery.

W podatności CVE-2024-49254 występuje niewłaściwa kontrola generowania kodu, co prowadzi do możliwości wstrzyknięcia kodu w bibliotece ajax-extend w wersjach od n/a do 1.0. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanego kodu.

W podatności CVE-2024-49253 występuje problem z przechodzeniem przez względne ścieżki w module Analyse Uploads w JamesPark.ninja. Dotyczy to wersji od n/a do 0.5 włącznie.

W podatności CVE-2024-49251 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie kodu w dodatkach Maan dla Elementora. Problem dotyczy wersji Maan Addons For Elementor od n/a do 1.0.1 włącznie.

Podatność typu 'Path Traversal' w drukarce obrazów Ahime Image Printer pozwala na nieprawidłowe ograniczenie ścieżki do zastrzeżonego katalogu. Problem dotyczy wersji Ahime Image Printer od n/a do 1.0.0 włącznie.

Podatność CVE-2024-49242 w systemie Shafiq Digital Lottery umożliwia nieograniczone przesyłanie plików o niebezpiecznych typach, co pozwala na przesłanie powłoki sieciowej na serwerze WWW. Problem dotyczy wersji Digital Lottery od n/a do 3.0.5 włącznie.

Podatność CVE-2024-49227 dotyczy deserializacji niezaufanych danych w aplikacji Foter Free Stock Photos, co pozwala na wstrzyknięcie obiektów. Problem ten dotyczy wersji od n/a do 1.5.4 włącznie.

Podatność CVE-2024-49226 dotyczy deserializacji niezaufanych danych w wtyczce TAKETIN To WP Membership, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 2.8.17 włącznie.

Podatność CVE-2024-49218 dotyczy deserializacji nieufnych danych w wtyczce Recently dla WooCommerce, co umożliwia wstrzyknięcie obiektów. Problem ten występuje w wersjach od n/a do 1.1.

Podatność CVE-2024-49216 dotyczy nieograniczonego przesyłania plików z niebezpiecznym typem wtyczki Feed Comments Number, co pozwala na przesłanie powłoki sieciowej na serwer WWW. Problem ten dotyczy wersji od n/a do 0.2.1 włącznie.

Podatność CVE-2024-48035 dotyczy wtyczki ACF Images Search And Insert, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co stwarza poważne zagrożenie dla bezpieczeństwa.

Podatność CVE-2024-48034 dotyczy aplikacji fliperrr, która umożliwia nieograniczone przesyłanie plików z niebezpiecznymi typami. Umożliwia to przesłanie powłoki sieciowej na serwer WWW, co może prowadzić do poważnych naruszeń bezpieczeństwa.

W podatności CVE-2024-48030 występuje problem deserializacji niezaufanych danych w aplikacji Webextends Telecash Ricaricaweb, co umożliwia wstrzyknięcie obiektów. Dotyczy to wersji Telecash Ricaricaweb od n/a do 2.2 włącznie.

W podatności CVE-2024-48029 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w wtyczce SB Random Posts Widget, co pozwala na lokalne dołączenie plików PHP. Problem dotyczy wersji wtyczki od n/a do 1.0 włącznie.