Katalog podatności CVE

ThumbPress w wersjach starszych niż 6.5 zawiera podatność Broken Access Control bez uwierzytelnienia. Niezalogowani użytkownicy mogą wykonywać operacje, do których nie mają uprawnień.

BP Better Messages w wersjach do 2.15.22 zawiera podatność Cross Site Scripting (XSS) bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Ezoic w wersjach do 2.22.11 zawiera podatność Broken Authentication bez uwierzytelnienia. Atakujący może obejść mechanizmy uwierzytelniania i uzyskać nieautoryzowany dostęp.

PDF Smart Viewer for Elementor w wersjach do 1.0.4 zawiera podatność Server Side Request Forgery (SSRF) bez uwierzytelnienia. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów.

Wtyczka Online Contact Widget w wersjach do 1.3.0 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji, które powinny być chronione.

ArcSearch dla iOS w wersjach przed 1.48.0 może utrzymywać ukryty pasek adresu po przewinięciu inicjowanym przez stronę, co pozwala treści kontrolowanej przez atakującego na imitowanie elementów interfejsu przeglądarki i zwiększa ryzyko spoofingu.

BetterDesk, rozwiązanie do zdalnego zarządzania pulpitem, w wersjach do 2.3.0 nieprawidłowo unieważnia tożsamości usuniętych urządzeń, co pozwala nieuwierzytelnionemu klientowi na powtórzenie lub sfałszowanie identyfikatora urządzenia i ominięcie kontroli rejestracji. Wersja 3.0.0-alpha zawiera poprawkę. Nie są znane żadne obejścia.

Bramka płatnicza Duitku w wersjach do 2.11.14 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Osoba atakująca bez logowania może uzyskać dostęp do poufnych informacji.

Wtyczka Gravity Forms Bookings premium w wersjach do 2.1 zawiera podatność na wstrzyknięcie SQL z poziomu subskrybenta. Osoba atakująca z uprawnieniami subskrybenta może wykonać nieautoryzowane zapytania do bazy danych.

Wtyczka Essential Real Estate w wersjach do 5.3.3 zawiera podatność na wstrzyknięcie obiektów PHP z poziomu klienta. Osoba atakująca może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Theme Test Drive w wersjach do 2.9.1 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Osoba atakująca bez logowania może dołączyć lokalne pliki z serwera.

Wtyczka Mayosis Core w wersjach do 5.4.7 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Osoba atakująca bez logowania może wstrzyknąć złośliwe skrypty do stron.

Wtyczka FormyChat w wersjach do 2.15.7 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji.

Wtyczka Vavo Core w wersjach do 2.3.0 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Osoba atakująca bez logowania może dołączyć lokalne pliki z serwera.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w oprogramowaniu SSL Zen w wersjach do 4.7.43.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w Quill Forms w wersjach do 5.7.1.

Nieuwierzytelniona podatność Broken Access Control w WP Sort Order w wersjach do 1.3.5.

Podatność na eskalację uprawnień subskrybenta w The Grid w wersjach do 2.7.9.1.

Niewłaściwa neutralizacja specjalnych elementów używanych w poleceniu (command injection) w Microsoft Copilot pozwala nieautoryzowanemu atakującemu na ujawnienie informacji przez sieć.

Podatność SQL injection w Task Management System 1.0, w funkcji Operation::select_with_multiple_condition w pliku /index.php, w komponencie Login Form, poprzez argument email. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny.