Katalog podatności CVE

Wtyczka WordPress WP User Manager (do wersji 2.9.24) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na nieuprawniony dostęp do funkcji zarządzania użytkownikami.

Podatność typu Stored XSS w SureForms (sureforms) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 2.12.7.

Brak autoryzacji w Pay for Payment for WooCommerce (woocommerce-pay-for-payment) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.0.1.

Brak autoryzacji w Quick Paypal Payments (quick-paypal-payments) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 6.0.3.

Wtyczka Premium Addons for Elementor do wersji 4.11.110 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.

Wtyczka Active Products Tables for WooCommerce do wersji 2.1.3 zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych. Atakujący może wykorzystać tę lukę do wyciągnięcia poufnych informacji z systemu.

Wtyczka PowerPack Addons for Elementor do wersji 3.1.0 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.

Wtyczka Books Gallery do wersji 4.8.4 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.

Podatność typu Blind SQL Injection we wtyczce WOLF bulk-editor firmy PluginUs.Net. Brak neutralizacji specjalnych elementów w poleceniu SQL pozwala na ślepe wstrzyknięcie SQL.

Wtyczka FOX (woocommerce-currency-switcher) do wersji 1.5.4 zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może uzyskać dostęp do funkcji, które powinny być chronione.

Wtyczka User Registration do wersji 5.2.8 zawiera podatność polegającą na braku autoryzacji, co umożliwia odzyskanie osadzonych danych wrażliwych. Atakujący może wykorzystać tę lukę do wyciągnięcia poufnych informacji z systemu.

Wtyczka User Registration do wersji 5.2.8 zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może uzyskać dostęp do funkcji, które powinny być chronione.

Wtyczka User Registration do wersji 5.2.8 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarce innych użytkowników.

Wtyczka User Registration do wersji 5.2.8 zawiera podatność na Cross-Site Request Forgery (CSRF), co umożliwia atakującemu zmuszenie uwierzytelnionego użytkownika do wykonania niepożądanych działań. Atak może być przeprowadzony bez wiedzy ofiary.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień do krytycznego zasobu w produktach AssetView, AssetView CLOUD i AssetView Cloud +. Lokalny uwierzytelniony atakujący może uzyskać uprawnienia SYSTEM.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.18 zawiera podatność na ujawnienie wrażliwych informacji przez ai_wp_footer_hook. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wyciągnięcie danych takich jak wewnętrzny adres IP serwera, konfiguracja PHP, wersje WordPressa i motywu, stałe zabezpieczeń, pełna macierz bloków wtyczki oraz wszystkie metadane postów, w tym chronione klucze z prefiksem podkreślenia, takie jak tokeny API i prywatny stan integracji innych wtyczek.

HCL Connections jest podatny na atak typu cross-site scripting (XSS), który pozwala atakującemu na wykonanie dowolnego kodu skryptowego w przeglądarce nieświadomego użytkownika. Może to prowadzić do kradzieży danych uwierzytelniających opartych na cookies i przejęcia konta użytkownika.

Wtyczka Animated Number Counters dla WordPressa jest podatna na generyczny SQL Injection przez parametr 'counterid' we wszystkich wersjach do 3.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL, co pozwala uwierzytelnionym atakującym z dostępem edytora lub wyższym na dołączanie dodatkowych zapytań SQL.

Zohocorp ManageEngine Malware Protection Plus w wersjach przed 1.0.64.12 jest dotknięty niewystarczającą weryfikacją podpisu sterownika w usłudze MEARWService. Może to pozwolić atakującemu na załadowanie nieautoryzowanego sterownika.

Wtyczka WPGraphQL dla WordPressa ma brak autoryzacji, co pozwala na odzyskiwanie osadzonych wrażliwych danych. Podatność dotyczy wszystkich wersji od n/a do 2.23.1.