Katalog podatności CVE

Nieuwierzytelniony atak CSRF w wtyczce Activity Log w wersjach do 2.13.1. Podatność umożliwia atakującemu wykonanie nieautoryzowanych operacji w imieniu administratora.

Nieuwierzytelniony atak XSS w wtyczce Estatik w wersjach do 4.3.4. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Podatność na ujawnienie wrażliwych informacji systemowych nieautoryzowanej sferze kontroli w Dotstore WooCommerce Product Attachment woo-product-attachment umożliwia pobieranie osadzonych wrażliwych danych. Problem dotyczy WooCommerce Product Attachment od wersji n/a do 2.3.4.

Nieuwierzytelniona iniekcja obiektów PHP w wtyczce Ninja Forms - Layout & Styles w wersjach do 3.0.31. Atakujący może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniony atak XSS w wtyczce TrustedSite w wersjach do 1.2.5. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Nieuwierzytelniony atak XSS w wtyczce Interactive Geo Maps w wersjach do 1.6.30. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Nieprawidłowe przypisanie uprawnień w wtyczce LiquidThemes Booking Hub umożliwia eskalację uprawnień. Problem dotyczy wersji od n/a do 1.3.1.

Nieuwierzytelniony atak XSS w wtyczce MP3 Audio Player for Music, Radio & Podcast by Sonaar w wersjach do 5.13.1. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Nieuwierzytelniony atak XSS w wtyczce Upsell Order Bump Offer for WooCommerce w wersjach do 3.1.5. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka WP User Frontend w wersjach do 4.3.10 zawiera podatność na wstrzykiwanie obiektów PHP przez subskrybenta. Atakujący z rolą subskrybenta może wykorzystać tę podatność do wykonania nieautoryzowanych operacji.

W Eclipse Ditto w wersjach od 1.3.0 do 3.9.6, komponent ImplicitThingCreationMessageMapper w usłudze connectivity wstrzykuje wartości z nagłówków wiadomości do szablonu JSON bez odpowiedniego escapowania, co pozwala na złamanie struktury JSON i wstrzyknięcie dodatkowych pól. Atakujący może kontrolować nagłówek (np. właściwość MQTT 5, AMQP 1.0 lub Kafka) i wstrzyknąć obiekt _policy, nadpisując skonfigurowaną politykę dostępu.

W Progress® Telerik® UI for AJAX przed wersją v2026.3.812 występuje niewystarczająca ochrona integralności parametrów żądań dialogowych używanych przez przeglądarkę plików RadEditor. Atakujący, który zdobędzie pewien materiał klucza szyfrującego aplikacji, może zmienić foldery, z których przeglądarka plików czyta, do których zapisuje i do których przesyła pliki, co może prowadzić do zdalnego wykonania kodu.

W Progress® Telerik® UI for AJAX przed wersją v2026.3.812 występuje niewystarczająca walidacja stanu dostarczanego przez klienta w RadImageEditor. Może to pozwolić atakującemu na wpływanie na to, który plik jest zwracany przez pamięć podręczną obrazów kontrolki, potencjalnie ujawniając zawartość plików spoza zamierzonych katalogów obrazów.

Wtyczka Broken Link Checker dla WordPressa do wersji 2.4.13 włącznie jest podatna na Stored Cross-Site Scripting przez pole Comment Author URL / Link Log z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Niezalogowani atakujący mogą wstrzykiwać dowolne skrypty webowe na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby administrator wykonał standardowy workflow dismiss-and-recheck na linku przesłanym przez atakującego, po czym serwer HTTP atakującego przekierowuje do URL zawierającego payload HTML/JavaScript, który jest przechowywany w logu linków.

Zohocorp ManageEngine Password Manager Pro przed wersją 13235, PAM360 przed wersją 8561 oraz Access Manager Plus przed wersją 4405 są podatne na uwierzytelnioną podatność SQL Injection.

Wtyczka Marcus Login With Ajax do wersji 4.5.1 włącznie zawiera podatność Reflected Cross-Site Scripting z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka OAuth Single Sign On dla WordPressa przed wersją 7.0.1 nie weryfikuje asercji tożsamości zwracanej przez przepływ Steam single sign-on, co pozwala niezalogowanym atakującym na logowanie się jako dowolny nieadministracyjny użytkownik oraz tworzenie nowych kont.

Wtyczka Simple Ajax Chat dla WordPressa przed wersją 20260827 nie escapuje treści wiadomości czatu przed jej renderowaniem, co pozwala niezalogowanym użytkownikom na wstrzykiwanie dowolnych atrybutów HTML do strony i uruchamianie skryptów w przeglądarce każdego, kto ogląda czat, w tym administratorów.

Wtyczka FAQ Builder AYS dla WordPressa przed wersją 1.8.5 nie sanityzuje ani nie escapuje treści przesyłanych przez niezalogowanych odwiedzających przed ich zapisaniem i wyświetleniem na stronie panelu administracyjnego. Dodatkowo zastosowane escapowanie jest cofane przez kolejny krok dekodowania, co prowadzi do Stored XSS, który wykonuje się w kontekście zalogowanego administratora.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.