Katalog podatności CVE

Podatność na atak typu Denial of Service (DoS) bez autoryzacji w wtyczce WP Store Locator w wersjach przed 3.0.0.

Wtyczka Go Live Update Urls w wersjach do 7.0.8 włącznie zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą Contributor. Pozwala to na wstrzyknięcie złośliwego obiektu PHP.

Wtyczka Kadence WooCommerce Email Designer w wersjach do 1.5.19.1 włącznie zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą Shop manager. Umożliwia to wstrzyknięcie złośliwego obiektu PHP.

Podatność na Cross Site Scripting (XSS) w wtyczce Pixel Manager for WooCommerce w wersjach do 1.69.0. Użytkownik o roli Contributor może wstrzyknąć złośliwy skrypt.

Podatność na Insecure Direct Object References (IDOR) bez autoryzacji w wtyczce Simply Schedule Appointments w wersjach do 1.6.12.31.

Wtyczka Safe SVG w wersji 2.5.0 i wcześniejszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) z poziomu kontrybutora. Umożliwia to nieautoryzowany dostęp do zasobów.

Wtyczka FormGent w wersjach do 1.12.2 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać użytkownik z rolą Subscriber. Brak odpowiedniej kontroli dostępu pozwala na wykonanie nieautoryzowanych operacji.

Wtyczka AcyMailing SMTP Newsletter w wersjach do 11.0.5 włącznie jest podatna na nieuwierzytelnione zdalne wykonanie kodu (RCE). Atakujący może wykonać dowolny kod bez uwierzytelnienia.

Wtyczka Import and export users and customers w wersjach do 2.5.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z rolą Subscriber. Pozwala to na podniesienie uprawnień.

Wtyczka GamiPress zawiera podatność SQL Injection typu Blind wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji od n/a do 8.0.2.

Wtyczka Business Directory w wersji 6.4.27 i wcześniejszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) z poziomu kontrybutora. Umożliwia to nieautoryzowany dostęp do zasobów.

Wtyczka NextGEN Gallery w wersjach do 4.5.0 włącznie zawiera podatność Arbitrary File Download, którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na pobranie dowolnych plików z serwera.

Wtyczka Responsive Slider Gallery w wersjach do 1.5.5 włącznie zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą Editor. Umożliwia to wstrzyknięcie złośliwego obiektu PHP.

Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer w wersjach <= 2.33.6 jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection). Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributora.

Wtyczka GravityExport Lite for Gravity Forms w wersjach <= 2.7.2 zawiera podatność typu Broken Access Control, możliwą do wykorzystania bez uwierzytelnienia. Nieuwierzytelniony atakujący może obejść mechanizmy kontroli dostępu.

Wtyczka Easy Pricing Tables w wersjach <= 4.1.2 jest podatna na wstrzyknięcie SQL (SQL Injection). Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributora.

Wtyczka Quiz Cat w wersjach <= 3.1.1 jest podatna na wstrzyknięcie SQL (SQL Injection). Podatność może być wykorzystana przez użytkownika z uprawnieniami Autora.

Wtyczka WordPress Persistent Login w wersjach <= 3.1.3 jest podatna na Cross Site Scripting (XSS) bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Wtyczka Site Reviews w wersjach <= 8.3.1 jest podatna na Cross Site Scripting (XSS) bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.

Wtyczka Safe SVG w wersji 2.5.0 i wcześniejszych zawiera podatność na Cross Site Scripting (XSS) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu.