Katalog podatności CVE

Wtyczka Simple Blog Card dla WordPressa w wersjach przed 1.31 nie waliduje i nie ucieka niektórych atrybutów shortcode przed ich wyświetleniem na stronie lub w poście, co może umożliwić użytkownikom z rolą współpracownika i wyżej przeprowadzenie ataków typu Stored Cross-Site Scripting.

Wtyczka All Users Messenger dla WordPressa w wersji do 1.24 nie zapobiega usuwaniu wiadomości przez użytkowników, którzy nie są administratorami.

Wtyczka GDPR Cookie Compliance (CCPA, DSGVO, Cookie Consent) dla WordPressa w wersjach przed 4.12.5 nie posiada odpowiednich zabezpieczeń CSRF przy zarządzaniu licencją, co może umożliwić atakującym zmuszanie zalogowanych administratorów do aktualizacji i dezaktywacji licencji wtyczki za pomocą ataków CSRF.

Wtyczka PostX dla WordPressa w wersjach przed 3.0.6 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting.

Wtyczka Upload Media By URL dla WordPressa przed wersją 1.0.8 nie posiada weryfikacji CSRF podczas przesyłania plików. To może umożliwić atakującym zmuszenie zalogowanych administratorów do przesyłania plików, w tym HTML zawierającego kod JS, w ich imieniu.

Wtyczka FormCraft dla WordPressa w wersjach przed 1.2.7 nie sanitizuje i nie ucieka niektórych ustawień, co może umożliwić użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest zablokowana.

Wtyczka Subscribers Text Counter dla WordPressa w wersjach przed 1.7.1 nie posiada weryfikacji CSRF podczas aktualizacji ustawień, co może umożliwić atakującym zmianę tych ustawień przez zaatakowanego administratora. Brak sanitizacji i ucieczki danych prowadzi również do możliwości wystąpienia Stored Cross-Site Scripting.

Wtyczka Yandex Metrica Counter w wersjach do 1.4.3 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który będzie wykonywany w kontekście przeglądarki użytkowników.

Wtyczka Miled WordPress Social Login w wersjach do 3.0.4 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z uprawnieniami administratora. Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, który zostanie wykonany w kontekście przeglądarki ofiary.

Wtyczka WooCommerce Box Office w wersjach do 1.1.50 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) dla użytkowników z uprawnieniami współtwórcy i wyżej.

Skrypt forum PHP Jabbers w wersji 3.0 jest podatny na atak typu Cross Site Scripting (XSS) poprzez parametr 'keyword'.

Skrypt phpjabbers Business Directory w wersji 3.2 jest podatny na atak typu Cross Site Scripting (XSS) poprzez parametr 'keyword'.

Wtyczka Alan Tien Call Now Icon Animate w wersjach do 0.1.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Wtyczka Valiano Unite Gallery Lite w wersjach do 1.7.61 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Wtyczka Joaquín Ruiz Easy Admin Menu w wersjach do 1.3 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją administratora.

Wtyczka nuajik w wersjach do 0.1.0 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

Wtyczka gsmith Cookie Monster w wersjach do 1.51 zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) z autoryzacją (admin+).

AffiliateWP dla WordPressa jest podatny na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'affwp_activate_addons_page_plugin' wywoływanej przez akcję AJAX w wersjach do 2.14.0 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, aktywację dowolnych wtyczek.

W GitLab odkryto problem, który dotyczy wszystkich wersji przed 16.2.0. Zatwierdzanie katalogów zawierających znak LF skutkuje błędami 500 podczas przeglądania zatwierdzenia.

Wtyczka Email Encoder dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'eeb_mailto' w wersjach do 2.1.8 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia dla atrybutów dostarczanych przez użytkowników.