Katalog podatności CVE

Wtyczka Shiptastic for WooCommerce w wersji 5.1.0 i starszych jest podatna na nieuwierzytelnione bezpośrednie odwołania do obiektów (IDOR). Niezalogowani atakujący mogą uzyskać dostęp do obiektów, do których nie powinni mieć dostępu.

Wtyczka PeproDev Ultimate Invoice w wersji 2.2.6 i starszych zawiera nieuwierzytelnioną podatność na złamaną kontrolę dostępu. Niezalogowani użytkownicy mogą uzyskać nieuprawniony dostęp do funkcji lub danych.

Wtyczka Complianz w wersji 7.5.0 i starszych jest podatna na nieuwierzytelnione ujawnienie wrażliwych danych. Niezalogowani atakujący mogą uzyskać dostęp do poufnych informacji.

Wtyczka Complianz w wersji 7.5.0 i starszych zawiera podatność na fałszerstwo żądania po stronie serwera (SSRF) z poziomu autora. Użytkownik z rolą autora może nakłonić serwer do wysłania żądań do wewnętrznych zasobów.

Wtyczka Query Wrangler w wersji 1.5.57 i starszych zawiera podatność na złamaną kontrolę dostępu z poziomu subskrybenta. Użytkownik z rolą subskrybenta może uzyskać nieuprawniony dostęp do funkcji lub danych.

Wtyczka Create (mediavine-create) autorstwa John-Michael L'Allier zawiera podatność polegającą na ujawnieniu wrażliwych informacji systemowych nieuprawnionemu podmiotowi. Problem dotyczy wersji od nieznanej do 2.6.0 i pozwala na odczytanie osadzonych danych wrażliwych.

Brak autoryzacji w LA-Studio Element Kit dla Elementor (lastudio-element-kit) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.6.2.

Wtyczka Photography w wersjach do 7.7.6 zawiera podatność na nieuwierzytelniony dostęp do funkcji zarządzania uprawnieniami. Osoba atakująca bez logowania może ominąć mechanizmy kontroli dostępu.

Wtyczka Event post w wersjach do 6.0.1 zawiera podatność na nieuwierzytelniony dostęp do funkcji zarządzania uprawnieniami. Osoba atakująca bez logowania może ominąć mechanizmy kontroli dostępu.

Wtyczka Content Control w wersjach do 2.6.5 zawiera podatność na nieuwierzytelniony dostęp do funkcji zarządzania uprawnieniami. Osoba atakująca bez logowania może ominąć mechanizmy kontroli dostępu.

Wtyczka Style Kits w wersjach do 2.6.5 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Współautor. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.

Wtyczka HashThemes Demo Importer w wersjach do 1.4.2 zawiera podatność na atak XSS (Cross Site Scripting) przez użytkownika z rolą Autor. Osoba atakująca może wstrzyknąć złośliwy skrypt.

Wtyczka LA-Studio Element Kit dla Elementora zawiera podatność na ataki typu DOM-Based XSS (Cross-site Scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.6.3 włącznie.

Motyw TheGem firmy CodexThemes zawiera podatność na atak XSS oparty na DOM (DOM-Based XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji przed 5.12.1.1.

Wtyczka Reviewer w wersjach do 3.14.2 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Subskrybent. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.

Wtyczka ListingPro w wersjach do 2.9.10 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Subskrybent. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.

Wtyczka Civi w wersji 2.2.4 i starszych zawiera lukę w zabezpieczeniach dostępu, która może być wykorzystana bez uwierzytelnienia. Atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka Modula Image Gallery w wersjach od 2.14.25 do 2.14.30 jest podatna na trwałe ataki XSS. Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach innych użytkowników.

Wtyczka Ninja Tables w wersji 5.2.10 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Luka polega na braku odpowiedniego zabezpieczenia danych przed nieautoryzowanym odczytem.

Wtyczka Virtue/Ascend/Pinnacle Toolkit w wersji 4.9.12 i starszych jest podatna na ataki XSS z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt.