Katalog podatności CVE

Podatność typu Stored XSS w wtyczce Image Photo Gallery Final Tiles Grid do wersji 3.6.13. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce użytkownika.

Wtyczka Groundhogg do WordPressa (wersje do 4.8.3) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.

Wtyczka PowerPress Podcasting do WordPressa (wersje do 11.17.9) zawiera podatność Cross-Site Request Forgery (CSRF), która może pozwolić na wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika.

Podatność typu Stored XSS w wtyczce GiveWP do wersji 4.17.0. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce administratora.

Podatność polegająca na ujawnieniu wrażliwych informacji systemowych w wtyczce Memberful - Membership Plugin do wersji 1.81.2. Umożliwia odzyskanie osadzonych danych wrażliwych.

Podatność typu Stored XSS w wtyczce B Blocks do wersji 2.1.8. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce administratora.

Wtyczka Name Directory do WordPressa zawiera podatność na brak autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 1.34.2 włącznie.

Wtyczka Name Directory do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.34.2 włącznie.

Wtyczka Sirv do WordPressa (wersje do 8.2.5) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.

Wtyczka PowerPress Podcasting do WordPressa zawiera podatność na brak autoryzacji, która umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 11.17.9 włącznie.

Wtyczka WP VR do WordPressa zawiera podatność na brak autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 9.1.3 włącznie.

Perforce P4 Search przed wersją 2026.4.2 ufa adresowi dostarczonemu przez klienta podczas walidacji niektórych żądań uwierzytelnienia. Atakujący posiadający skradziony bilet P4 Server może ominąć ograniczenia oparte na hoście i kontrole zaufanych adresów, uzyskując dostęp do P4 Search jako właściciel biletu.

Perforce P4 Search przed wersją 2026.4.2 nie waliduje nazw plików dostarczanych do funkcji instalacji rozszerzeń. Atakujący z uprawnieniami superużytkownika lub tokenem usługi może zapisywać pliki o dowolnej treści w katalogu instalacyjnym P4 Search.

P4 Search w wersjach przed 2026.4.2 nie zabezpiecza się w sposób bezpieczny, gdy jego token uwierzytelniania usługi jest pusty. W dotkniętych konfiguracjach nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do naruszenia bezpieczeństwa P4 Search i połączonego serwera P4.

Perforce P4 Search w wersjach przed 2026.4.2 nie ogranicza ścieżek plików zapisywanych przez interfejs konfiguracji logowania. Atakujący posiadający token uwierzytelniający usługi może zapisać dowolne pliki na hoście, co potencjalnie prowadzi do wykonania kodu w kontekście konta usługi P4 Search.

Wtyczka Taxi Booking Manager for WooCommerce do WordPressa zawiera podatność na nieprawidłową walidację określonej ilości w danych wejściowych, co pozwala na manipulację danymi. Problem dotyczy wersji do 2.1.1 włącznie.

Wtyczka Video Conferencing with Zoom do WordPressa zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji do 4.6.10 włącznie.

Wtyczka Premium Addons for Elementor do WordPressa zawiera podatność na Stored XSS (trwały cross-site scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 4.11.109 włącznie.

Wtyczka JS Help Desk do WordPressa zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 4.0.0 włącznie.

Podatność wtyczki JS Help Desk (js-support-ticket) do wersji 4.0.0 umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu.