Katalog podatności CVE

W Progress® Kendo UI for Vue (@progress/kendo-vue-charts) w wersjach od 2.5.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

W Progress® KendoReact (@progress/kendo-react-charts) w wersjach od 1.1.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

Wtyczka Divi Plus dla WordPressa jest podatna na dowolny odczyt plików w wersjach do 2.4.0 włącznie przez parametr 'svg_image' w punkcie końcowym REST /wp-json/elicus/v1/dipl-modules/svg-animator. Podatność wynika z bezwarunkowego zwracania prawdy przez funkcję uprawnień oraz niewystarczającej walidacji danych wejściowych, co pozwala niezalogowanym atakującym czytać dowolne pliki na serwerze.

Wtyczka PeproDev Ultimate Profile Solutions dla WordPressa do wersji 8.2.36 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'button' shortcode'a 'logout-url'. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributora wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

ZTE Z80 Ultra ma lokalną podatność na ujawnienie informacji. Aplikacje innych firm mogą przechwytywać dane zwracane przez interfejsy systemowe w celu uzyskania informacji związanych z urządzeniem.

Wtyczka HivePress – Business Directory, Listings & Classified Ads Plugin dla WordPressa jest podatna na przechowywany atak XSS przez parametr '<custom user attribute field name>' w wersjach do 1.7.31 włącznie z powodu niewystarczającej sanityzacji i eskejpowania danych. Niezalogowani atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony, ale wymaga to odpowiedniej konfiguracji administratora.

Wtyczka Listdom dla WordPressa do wersji 6.1.2 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji LSD_Menus_IX_CSV::import. Uwierzytelnieni atakujący z dostępem administratora mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik (np. wp-config.php).

Wtyczka Retainful (Email Marketing for WordPress i WooCommerce) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'data' we wszystkich wersjach do 1.0.10 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Motyw Avada dla WordPress i WooCommerce jest podatny na trwałe skrypty krzyżowe (Stored XSS) poprzez pola kontaktowe w profilu użytkownika (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) w wersjach do 7.16.1 włącznie. Pola te są emitowane w atrybucie href bez odrzucania niebezpiecznych schematów URL, takich jak javascript:.

Wtyczka WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'id_token' w wersjach do 44.1 włącznie z powodu niewystarczającej sanityzacji i eskejpowania danych. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się, gdy administrator odwiedzi stronę kreatora WPO365, a payload jest przechowywany w transiencie wpo365_errors przez trzy dni.

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na ogólny SQL Injection przez parametr 'booking[service_id]' w wersjach do 5.7.2 włącznie z powodu niewystarczającego eskejpowania danych i braku przygotowania zapytań SQL. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.

Wtyczka WP Directory Kit dla WordPress jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez pole profilu 'display_name' (Second-Order) we wszystkich wersjach do 1.5.9 włącznie. Wynika to z niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.

Wtyczka WP Photo Album Plus dla WordPressa jest podatna na przechowywany atak XSS przez historię sesji REQUEST_URI w wersjach do 9.3.03.002 włącznie z powodu niewystarczającej sanityzacji i eskejpowania danych. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się przy dostępie do zainfekowanej strony, wykorzystując obejście polegające na konwersji encji HTML na żywe tagi.

Wtyczka Zeinet firmy Bracketweb jest podatna na odbity atak XSS w wersjach do 1.0.0 włącznie z powodu niewystarczającej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Motors firmy StylemixThemes jest podatna na brak autoryzacji w wersjach do 1.4.108 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Grocery Shopping Store firmy Omegathemes jest podatna na obejście uwierzytelniania przez alternatywną ścieżkę lub kanał w wersjach do 1.3.3 włącznie, co pozwala na wykorzystanie mechanizmu odzyskiwania hasła.

Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.

Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.

Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.