Katalog podatności CVE

Wtyczka Course Booking System dla WordPressa przed wersją 7.0.9 nie ogranicza dostępu do eksportu rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na pobieranie imienia, adresu e-mail i adresu rozliczeniowego każdego klienta, który dokonał rezerwacji kursu.

Wtyczka YayReviews dla WordPressa przed wersją 1.4.1 nie ogranicza dostępu do trasy API, która zwraca indywidualne rekordy recenzji klientów, w tym recenzje oczekujące na moderację, co pozwala nieuwierzytelnionym atakującym na zbieranie adresów e-mail recenzentów i innych niepublicznych treści recenzji.

Wtyczka InPost PL dla WordPressa przed wersją 1.9.8 nie weryfikuje autentyczności przychodzących żądań webhook dotyczących przesyłek, polegając jedynie na niejawnym identyfikatorze i kontroli IP, która nie jest egzekwowana, co pozwala nieuwierzytelnionym atakującym, którzy znają numer śledzenia przesyłki, na sfałszowanie jej statusu i przedwczesne oznaczenie zamówienia jako zrealizowanego.

Wtyczka Content Egg dla WordPressa przed wersją 11.9.0 nie weryfikuje, czy użytkownik uruchamiający funkcję masowego importu treści jest autoryzowany do wybranego presetu importu, i przełącza się na tożsamość autora presetu przed utworzeniem wynikowego posta, co pozwala użytkownikom z poziomem współautora i wyższym na przechowywanie dowolnych skryptów internetowych bez filtrowania na koncie uprzywilejowanego użytkownika, wykonując je w kontekście każdego, kto później zobaczy tę treść.

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie ogranicza procedury migracji plików pochodnych WebP do bieżącego katalogu uploads witryny, co pozwala atakującemu z uprawnieniami administratora na zmianę nazwy lub usunięcie istniejących plików obrazów pochodnych WebP poza tym zakresem, w tym w sieci multisite, plików należących do innej witryny, do której nie ma dostępu.

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie zapobiega przechowywaniu przez uwierzytelnionych użytkowników z uprawnieniami autora serializowanej wartości w polu meta wpisu, która jest deserializowana podczas renderowania wpisu. Umożliwia to przeprowadzenie ataku PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, gdy dostępny jest odpowiedni łańcuch gadżetów.

Wtyczka Image Optimizer dla WordPressa przed wersją 1.7.7 nie egzekwuje zamierzonej kontroli uprawnień na kilku swoich trasach REST do odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt metadanych załączników i statystyk całej witryny, które powinny być ograniczone do administratorów.

Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie sprawdza uprawnień użytkownika przed wywołaniem jednego z modułów obsługi żądań wbudowanego frameworka administracyjnego. Pozwala to użytkownikom z kontem na poziomie subskrybenta na renderowanie stron administracyjnych wtyczki i ujawnienie jej zapisanych ustawień.

Wtyczka Hostinger Reach dla WordPressa przed wersją 1.8.3 nie sanityzuje i nie escapuje ustawienia widżetu przed wyprowadzeniem go w podglądzie edytora. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów internetowych, które wykonają się w sesji użytkownika z wyższymi uprawnieniami, który otworzy dotkniętą treść w edytorze.

Wtyczka Connections Business Directory dla WordPressa do wersji 10.4.67 nie stosuje ograniczeń widoczności i statusu moderacji na niektórych punktach końcowych API REST do odczytu. Umożliwia to nieuwierzytelnionym atakującym pobieranie wpisów katalogu oznaczonych jako prywatne lub niepubliczne, lub oczekujących na moderację, w tym nazwy wpisów, organizacje, biografie, notatki wewnętrzne i adresy ulic. Wtyczka została zamknięta na WordPress.org i nie jest dostępna żadna wersja z poprawką, więc właściciele witryn powinni ją usunąć lub ograniczyć nieuwierzytelniony dostęp do jej tras API REST.

Wtyczka All in One Files Upload dla WordPressa przed wersją 2.0.17 nie ma żadnej kontroli uprawnień i nie weryfikuje autentyczności żądania podczas zapisywania ustawień. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na ich zmianę.

Wtyczka Audio Player Block dla WordPressa przed wersją 1.6.3 nie weryfikuje schematu adresu URL podanego przez użytkownika przed użyciem go jako celu linku, co pozwala użytkownikom z rolą Współautor i wyższą na przechowywanie złośliwego JavaScriptu, który wykonuje się w sesji każdego użytkownika, który później kliknie link (np. administratora lub redaktora przeglądającego wpis).

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.7 nie sanityzuje i nie escapuje jednego z ustawień widgetu Elementor przed wypisaniem go do atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor lub wyższą na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania dotkniętej treści.

Wtyczka New User Approve dla WordPressa przed wersją 3.2.10 nie weryfikuje poprawnie uwierzytelnienia na zestawie tras REST API integracji, gdy integracja jest nieskonfigurowana, co pozwala nieuwierzytelnionym atakującym na pobieranie danych osobowych (id, nazwa użytkownika, adres e-mail i data rejestracji) zarejestrowanych użytkowników.

Wtyczka Solace Extra dla WordPressa przed wersją 1.7.2 nie wykonuje żadnej autoryzacji ani sprawdzenia statusu wpisu na swoich trasach podglądu front-end, co pozwala nieuwierzytelnionym odwiedzającym na czytanie wyrenderowanej treści nieopublikowanych wpisów i stron dowolnego typu, których WordPress normalnie by nie serwował.

Wtyczka User Frontend dla WordPressa przed wersją 4.3.12 nie sprawdza, czy witryna zezwala na rejestrację użytkowników przed utworzeniem konta, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont na stronach, gdzie rejestracja jest wyłączona. Utworzone konto otrzymuje domyślną rolę witryny.

Wtyczka FluentCart A New Era of eCommerce dla WordPressa przed wersją 1.6.5 nie weryfikuje, czy osoba składająca zamówienie jako gość kontroluje podany adres e-mail, co pozwala nieuwierzytelnionym atakującym, którzy znają adres e-mail istniejącego klienta-gościa, na uzyskanie zalogowanego konta z tym adresem oraz z zapisanym rekordem klienta.

Zidentyfikowano podatność w SourceCodester Online Leave Management System 1.0. Problem dotyczy nieznanego przetwarzania w pliku /admin/?page=reports. Manipulacja argumentem date_start/date_end prowadzi do wstrzyknięcia SQL. Zdalne wykorzystanie ataku jest możliwe, a exploit jest publicznie dostępny i może zostać użyty.

W produkcie ZTE U30 Air wykryto podatność ujawniania informacji. Z powodu nieprawidłowej kontroli uprawnień atakujący mogą wykorzystać tę podatność do uzyskania istotnych informacji.

W produkcie 0xshariq github-mcp-server do wersji 52e764a7d66eac1726fce02ca7bb5a638571801a wykryto podatność w funkcji child_process.exec pliku src/github.ts komponentu Git Remove MCP Tool. Manipulacja argumentem File prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.