Katalog podatności CVE

Wtyczka Whistle - Sports Club (Designthemes) zawiera podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 4.2 włącznie.

Wtyczka Voldor (Bracketweb) zawiera podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 1.0.0 włącznie.

Wtyczka Ogency (Bracketweb) zawiera podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 1.0.0 włącznie.

Wtyczka Treck (Bracketweb) zawiera podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 1.0.0 włącznie.

Błędne użycie i konfiguracja komunikacji Bluetooth w SwitchBot Door Lock Series pozwala atakującemu obejść zamek elektroniczny i kontrolę dostępu poprzez manipulowany protokół komunikacyjny.

Moduł PrestaShop Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.1 do 26.9.1.

Moduł OpenCart Virtual POS firmy Sipay Electronic Money and Payment Services Inc. zawiera podatność nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala na podszywanie się pod podpis poprzez niewłaściwą walidację. Problem dotyczy wersji od 26.8.2 do 26.9.1.

Wtyczka WPFunnels dla WordPressa do wersji 3.13.3 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

Wtyczka Before After Image Comparison – Image comparison for WP do wersji 1.1.21 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Jetpack od Automattic do wersji 16.2 zawiera podatność na obejście uwierzytelnienia przy użyciu alternatywnej ścieżki lub kanału, co umożliwia wykorzystanie procesu odzyskiwania hasła.

Wtyczka Jetpack od Automattic do wersji 16.2 zawiera podatność na obejście uwierzytelnienia przy użyciu alternatywnej ścieżki lub kanału, co umożliwia wykorzystanie procesu odzyskiwania hasła.

Wtyczka Th Shop Mania (ThemeHunk) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem występuje w wersjach do 1.9.1 włącznie.

Wtyczka QA Analytics qa-heatmap-analytics do wersji 5.3.0.0 zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych.

Wtyczka Product Configurator for WooCommerce (mklacroix) zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach do 1.7.5 włącznie.

Wtyczka WP Associate Post R2 (Delight Star Inc.) zawiera podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 5.0.1 włącznie.

Podatność typu Reflected XSS w rozszerzeniu AcyMailing SMTP Newsletter dla WordPressa. Brak neutralizacji danych wejściowych podczas generowania strony umożliwia atakującemu wstrzyknięcie złośliwego skryptu.

Podatność na deserializację niezaufanych danych w wtyczce Quiz And Survey Master dla WordPressa, umożliwiająca wstrzyknięcie obiektów (Object Injection).

Wtyczka Envira Gallery Lite przed wersją 1.16.2 zawiera brak autoryzacji w punkcie końcowym REST do konwersji galerii, co pozwala użytkownikom z niższymi uprawnieniami na tworzenie i publikowanie galerii bez wymaganych uprawnień. Atakujący mogą również podać dowolne identyfikatory obrazów bez weryfikacji własności, publikując nieautoryzowane treści.

Podatność w Apache Camel Karavan polegająca na niewłaściwej walidacji danych wejściowych. Podczas uruchamiania deploymentu Karavan bez ograniczeń stosuje zasoby z pliku kubernetes.yaml, w tym wrażliwe opcje podów, bez przypięcia przestrzeni nazw.

Podatność typu path traversal w Apache Camel Karavan. Nazwa pliku projektu podana przez API jest używana bez zmian jako segment ścieżki, co pozwala na zapis plików poza katalogiem projektu, w dowolnym miejscu zapisywalnym przez proces Karavan.