Katalog podatności CVE

Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Event Tickets (Liquid Web / StellarWP) jest podatna na wstrzyknięcie SQL (SQL Injection) typu Blind SQL Injection z powodu nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji od n/a do 5.29.5.

Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

Wtyczka The Events Calendar w wersjach do 6.17.5 włącznie zawiera podatność Broken Access Control, którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na obejście mechanizmów kontroli dostępu.

Wtyczka Review Schema w wersjach do 3.1.0 włącznie zawiera podatność Insecure Direct Object References (IDOR) dostępną bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.

Wtyczka Polylang w wersjach do 3.8.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka OAuth Single Sign On – SSO (OAuth Client) w wersjach do 7.1.2 włącznie zawiera podatność pozwalającą nieuwierzytelnionemu atakującemu ominąć mechanizm logowania SSO. Brak wymaga wcześniejszego uwierzytelnienia do wykorzystania luki.

Wtyczka Premmerce Permalink Manager for WooCommerce w wersjach do 2.3.13 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka WPFunnels w wersjach do 3.13.1 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Podatność na Cross Site Scripting (XSS) w wtyczce CMB2 w wersjach do 2.13.0, wykorzystywana przez subskrybenta.

Podatność na Broken Access Control w wtyczce Prevent files / folders access w wersjach do 2.6.7, wykorzystywana przez subskrybenta.

Podatność na Cross Site Scripting (XSS) w Virtue/Ascend/Pinnacle Toolkit w wersjach do 4.9.12.1, wykorzystywana przez kontrybutora.

Podatność na Cross Site Scripting (XSS) w Visual Composer Website Builder w wersjach do 45.16.2, wykorzystywana przez kontrybutora.

Podatność na nieautoryzowane ujawnienie wrażliwych danych w Notivo w wersjach do 1.4.2, bez wymaganego uwierzytelnienia.

Wtyczka Kreatura LayerSlider w wersjach od n/a do 8.4.0 zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Geo Mashup w wersjach do 1.13.21 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.

Podatność na nieautoryzowane obejście zabezpieczeń w Paid Member Subscriptions w wersjach do 3.0.9, bez wymaganego uwierzytelnienia.

Wtyczka Booking Activities w wersjach do 1.18.7.1 włącznie jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP. Atakujący może wykorzystać tę lukę bez logowania.

Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.

Wtyczka ShortPixel Image Optimizer do 6.5.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania nieautoryzowanych działań w kontekście aplikacji WordPress.