Katalog podatności CVE

W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.

GraphicsMagick do wersji 1.3.47 ma podatność na niekontrolowaną rekurencję w funkcji ExtractPostscript w pliku coders/wpg.c w komponencie WPG File Handler. Atak może być przeprowadzony zdalnie. Zalecane jest zainstalowanie poprawki o nazwie 627b5b1b2fc2.

Wtyczka MPG w wersjach do 4.2.3 włącznie pozwala nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia umożliwia ujawnienie poufnych informacji.

Wtyczka Cool Formkit Lite w wersjach do 2.7.8 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Razorpay Payment Links for WooCommerce w wersjach do 2.1.5 włącznie jest podatna na Cross Site Request Forgery (CSRF) bez wymaganego uwierzytelnienia. Nieuwierzytelniony atakujący może wymusić na ofierze wykonanie niechcianych akcji.

Wtyczka King Addons for Elementor w wersjach do 51.1.86 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka YITH WooCommerce Tab Manager w wersjach do 2.15.0 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Author. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

Wtyczka The Events Calendar w wersjach do 6.17.5 włącznie zawiera podatność Broken Access Control, którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na obejście mechanizmów kontroli dostępu.

Wtyczka Review Schema w wersjach do 3.1.0 włącznie zawiera podatność Insecure Direct Object References (IDOR) dostępną bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.

Wtyczka Polylang w wersjach do 3.8.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Podatność na Cross Site Scripting (XSS) w wtyczce CMB2 w wersjach do 2.13.0, wykorzystywana przez subskrybenta.

Podatność na Broken Access Control w wtyczce Prevent files / folders access w wersjach do 2.6.7, wykorzystywana przez subskrybenta.

Podatność na Cross Site Scripting (XSS) w Virtue/Ascend/Pinnacle Toolkit w wersjach do 4.9.12.1, wykorzystywana przez kontrybutora.

Podatność na Cross Site Scripting (XSS) w Visual Composer Website Builder w wersjach do 45.16.2, wykorzystywana przez kontrybutora.

Podatność na nieautoryzowane ujawnienie wrażliwych danych w Notivo w wersjach do 1.4.2, bez wymaganego uwierzytelnienia.

Podatność na nieautoryzowane obejście zabezpieczeń w Paid Member Subscriptions w wersjach do 3.0.9, bez wymaganego uwierzytelnienia.

Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.

Wtyczka ShortPixel Image Optimizer do 6.5.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania nieautoryzowanych działań w kontekście aplikacji WordPress.