Katalog podatności CVE

Wtyczka LearnPress w wersjach do 4.4.9 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka picu w wersjach do 3.10.1 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka GiveWP w wersjach do 4.17.0 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Motors od StylemixThemes w wersjach do 1.4.124 włącznie zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.

Wtyczka picu w wersjach do 3.10.1 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Charitable w wersjach do 1.8.12.3 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka PowerPress Podcasting w wersjach do 11.17.9 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Groundhogg w wersjach do 4.8.3 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Payflex Payment Gateway w wersjach do 2.7.1 włącznie zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej.

Wtyczka WPO365 w wersjach do 44.1 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać atakujący z uprawnieniami subskrybenta.

Wtyczka Xserver Migrator w wersjach do 1.6.6 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Advanced Google reCAPTCHA w wersji 5.40 i starszych zawiera podatność polegającą na nieuwierzytelnionym złamaniu mechanizmu uwierzytelniania. Oznacza to, że osoba atakująca może obejść proces logowania bez podania prawidłowych danych uwierzytelniających.

Podatność w aplikacji Schmooze wynika z użycia twardo zakodowanych poświadczeń i kluczy kryptograficznych w aplikacji klienckiej. Nieuwierzytelniony zdalny atakujący może wykorzystać tę lukę poprzez dekompilację pakietu aplikacji i wyodrębnienie wbudowanych poświadczeń i kluczy.

W systemie SourceCodester Simple Student Information System 1.0 znaleziono podatność w pliku searchquery.php. Manipulacja danymi prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.

W implementacji OIDC w Keycloak, w przepływie Device Authorization Grant, nie jest sprawdzany minimalny poziom uwierzytelniania wymagany przez konfigurację klienta. Umożliwia to atakującemu, który zdobył hasło użytkownika, ominięcie obowiązkowego uwierzytelniania wieloskładnikowego i uzyskanie nieautoryzowanego dostępu do Keycloak Admin REST API.

Wtyczka elegro Crypto Payment dla WordPressa do wersji 1.0.1 nie wymaga skonfigurowania wspólnego sekretu przed zaufaniem przychodzącym powiadomieniom o płatności. Pozwala to nieuwierzytelnionym atakującym na fałszowanie potwierdzeń płatności i zmianę statusu dowolnych zamówień w instalacjach, gdzie sekret pozostał domyślnie pusty.

Nieuwierzytelniony zdalny atakujący może modyfikować dane podmodeli Asset Administration Shell za pomocą żądań PATCH oraz czytać wszystkie dane udostępniane przez punkty końcowe GET.

Wtyczka File Media Renamer dla WordPressa do wersji 1.3 nie weryfikuje, czy żądający użytkownik ma uprawnienia do modyfikacji danego załącznika. Pozwala to każdemu użytkownikowi z uprawnieniami do przesyłania plików na zmianę nazw załączników należących do innych użytkowników, w tym administratorów, oraz na uszkodzenie powiązanych danych witryny, które odwoływały się do starej ścieżki pliku.

Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje płatności u dostawcy płatności podczas obsługi powrotu z hostowanego checkoutu oraz nie sprawdza statusu ani kwoty płatności. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie zamówień jako opłaconych bez dokonania jakiejkolwiek płatności.

Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje autentyczności przychodzących powiadomień od dostawcy płatności i domyślnie ma wyłączoną tę weryfikację. Pozwala to nieuwierzytelnionym atakującym na oznaczenie nieopłaconego zamówienia jako opłaconego lub anulowanie/zwrócenie istniejącego zamówienia.