Katalog podatności CVE

Wielokrotne podatności na refleksyjny atak XSS w komponencie ErroreNonGestito.aspx aplikacji GruppoSCAI RealGimm 1.1.37p38 umożliwiają atakującym wykonanie dowolnego kodu Javascript w kontekście przeglądarki ofiary poprzez spreparowany ładunek wstrzyknięty do parametru VIEWSTATE.

W komponentach VerifichePeriodiche.aspx w wersji 1.1.37p38 oprogramowania GruppoSCAI RealGimm występuje podatność typu XML External Entity (XXE), która umożliwia atakującym odczyt dowolnego pliku z systemu plików poprzez dostarczenie odpowiednio przygotowanego pliku XML.

IBM Security Verify Information Queue w wersjach 10.0.4 i 10.0.5 może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji, które mogą wspierać dalsze ataki na system.

IBM Security Verify Information Queue w wersjach 10.0.4 i 10.0.5 może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji, które mogą wspierać dalsze ataki na system.

W podatności CVE-2023-41741 występuje ujawnienie wrażliwych informacji osobom nieuprawnionym w komponencie cgi w Synology Router Manager (SRM) przed wersją 1.3.1-9346-6. Zdalni atakujący mogą uzyskać dostęp do wrażliwych danych za pomocą nieokreślonych wektorów.

W podatności CVE-2023-41740 występuje niewłaściwe ograniczenie ścieżki do zastrzeżonego katalogu w komponencie cgi w Synology Router Manager (SRM) przed wersją 1.3.1-9346-6. Umożliwia to zdalnym atakującym odczytanie określonych plików za pomocą nieokreślonych wektorów.

W podatności CVE-2023-41739 w Synology Router Manager (SRM) przed wersją 1.3.1-9346-6 występuje niekontrolowane zużycie zasobów, które może być wykorzystane przez zdalnych uwierzytelnionych użytkowników do przeprowadzenia ataków typu denial-of-service.

Wtyczka Order Tracking Pro dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr statusu zamówienia w wersjach do 3.3.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym (administratorom lub wyżej) wstrzykiwanie dowolnych skryptów webowych na stronach.

Wtyczka Order Tracking Pro dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametry start_date i end_date w wersjach do 3.3.6 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

Wtyczka Woo Custom Emails dla WordPressa jest podatna na odzwierciedlone ataki Cross-Site Scripting (XSS) poprzez parametr 'wcemails_edit' w wersjach do 2.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

WooCommerce PDF Invoice Builder dla WordPressa jest podatny na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji GetInvoiceDetail w wersjach do 1.2.89 włącznie. Umożliwia to subskrybentom przeglądanie dowolnych faktur, pod warunkiem, że zgadną identyfikator zamówienia i identyfikator faktury.

Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery z powodu braku weryfikacji nonce w funkcji SaveCustomField w wersjach do 1.2.90 włącznie. Umożliwia to nieautoryzowanym atakującym tworzenie pól faktur, o ile uda im się nakłonić administratora do wykonania akcji, takiej jak kliknięcie w link.

Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administracyjne w wersjach do 1.2.90 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

Wtyczka Waiting: One-click countdowns dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 0.6.2 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w akcjach AJAX, co umożliwia nieautoryzowanym atakującym tworzenie i usuwanie odliczeń.

Wtyczka Waiting: One-click countdowns dla WordPressa jest podatna na obejście autoryzacji z powodu braku sprawdzeń uprawnień w wywołaniach AJAX w wersjach do 0.6.2 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym uprawnienia na poziomie subskrybenta i wyżej, tworzenie i usuwanie odliczeń oraz manipulowanie innymi ustawieniami wtyczki.

Wtyczka WooCommerce PDF Invoice Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery w wersjach do 1.2.90 włącznie. Problem wynika z braku lub nieprawidłowej walidacji nonce w funkcji zapisywania, co umożliwia nieautoryzowanym atakującym wprowadzanie zmian w fakturach poprzez sfałszowane żądania.

Wtyczka ProfileGrid dla WordPressa jest podatna na nieautoryzowaną dekrpycję prywatnych informacji w wersjach do 5.5.0 włącznie. Problem wynika z hardcodowania hasła i iv w funkcji 'pm_encrypt_decrypt_pass', co umożliwia atakującym z uprawnieniami administratora odszyfrowanie i podgląd haseł użytkowników.

W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1 występuje podatność typu Cross-site Scripting (XSS) odzwierciedlona.

W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.

W repozytorium GitHub instantsoft/icms2 przed wersją 2.16.1-git występuje podatność typu Cross-site Scripting (XSS), która pozwala na przechowywanie złośliwego kodu.