Katalog podatności CVE

Podatność CVE-2023-52204 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości wstrzyknięcia kodu SQL w Javik Randomize. Problem ten dotyczy wersji Randomize od n/a do 1.4.3.

Podatność CVE-2023-52200 dotyczy ataku typu Cross-Site Request Forgery (CSRF) oraz deserializacji niezaufanych danych w wtyczce ARMember – Membership Plugin. Problem ten wpływa na funkcje związane z ograniczeniem treści, poziomami członkostwa, profilami użytkowników oraz rejestracją użytkowników.

pyLoad 0.5.0 zawiera podatność na nieograniczone przesyłanie plików, co pozwala atakującemu na wgranie dowolnych plików na serwer bez odpowiedniej walidacji.

W podatności CVE-2023-52207 występuje deserializacja niezaufanych danych w odtwarzaczu MP3 HTML5 z playlistą Free. Problem ten dotyczy wersji od n/a do 3.0.0.

Podatność CVE-2023-52190 dotyczy programu poleceń kuponów WP Swings, który naraża wrażliwe informacje na dostęp nieautoryzowanych osób. Problem ten występuje w wersjach od n/a do 1.7.2.

Wtyczka Duplicator dla WordPressa przed wersją 1.3.0 nieprawidłowo ucieka wartości podczas zastępowania ich w plikach konfiguracyjnych WordPressa. Pozostawienie skryptu instalacyjnego na stronie po użyciu może umożliwić uruchomienie dowolnego kodu na serwerze.

Podatność CVE-2023-52225 dotyczy deserializacji niezaufanych danych w wtyczce Tagbox – UGC Galleries, Social Media Widgets, User Reviews & Analytics. Problem ten występuje w wersjach od n/a do 3.1.

Podatność CVE-2023-52219 dotyczy deserializacji niezaufanych danych w Gecka Gecka Terms Thumbnails, co może prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu. Problem ten dotyczy wersji od n/a do 1.1.

Podatność związana z deserializacją niezaufanych danych w bramce płatności Woocommerce Tranzila. Problem ten dotyczy wersji bramki płatności od n/a do 1.0.8.

W podatności CVE-2023-52215 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu SQL, co prowadzi do możliwości ataku typu SQL Injection w aplikacji UkrSolution Simple Inventory Management dla WooCommerce. Problem dotyczy wersji od n/a do 1.5.1.

W podatności CVE-2024-21747 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w weDevs WP ERP. Problem dotyczy wersji od n/a do 1.12.8.

W systemie zamówień online CodeAstro w wersji 1.0 odkryto krytyczną podatność. Dotyczy ona nieznanego kodu w pliku /admin/ komponentu Panelu Administracyjnego, gdzie manipulacja argumentem Username prowadzi do wstrzykiwania SQL.

Podatność CVE-2023-52143 dotyczy wtyczki WP Stripe Checkout, która naraża wrażliwe informacje na dostęp nieautoryzowanych osób. Problem ten występuje w wersjach od n/a do 1.2.2.37.

Podatność CVE-2022-46839 dotyczy wtyczki JS Help Desk, która pozwala na nieograniczone przesyłanie plików o niebezpiecznych typach. Problem ten występuje w wersjach od n/a do 2.7.1.

W podatności CVE-2023-52150 występuje luka typu Cross-Site Request Forgery (CSRF) w wtyczce Dynamic Content for Elementor od Ovation S.R.L. Problem dotyczy wersji przed 2.12.5.

W podatności CVE-2023-51502 występuje obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w WooCommerce Stripe Payment Gateway. Problem ten dotyczy wersji WooCommerce Stripe Payment Gateway od n/a do 7.6.1.

W CommonMarker przed wersją 0.23.4 występuje podatność na przepełnienie liczby całkowitej. Może ona pozwolić nieuwierzytelnionemu zdalnemu atakującemu na uszkodzenie pamięci sterty, co potencjalnie prowadzi do wycieku informacji lub zdalnego wykonania kodu poprzez parsowanie tabel z wierszami znaczników zawierającymi więcej niż UINT16_MAX kolumn.

Podatność typu path traversal w usłudze plików statycznych w Iodine w wersjach przed 0.7.33 umożliwia nieuwierzytelnionemu, zdalnemu atakującemu odczyt plików poza folderem publicznym poprzez złośliwe adresy URL.

Podatność w bibliotece httparty przed wersją 0.21.0 umożliwia atakującemu manipulację nazwami plików podczas przesyłania danych metodą multipart/form-data. Zdalny, nieuwierzytelniony atakujący może dostarczyć spreparowany parametr filename, co prowadzi do zapisu plików o kontrolowanej przez atakującego nazwie.