Katalog podatności CVE

Wtyczka Geo Mashup do wersji 1.13.22 zawiera podatność Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Lazy Load for Videos do wersji 2.18.11 zawiera podatność Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Better Post & Filter Widgets for Elementor do wersji 1.9.1 zawiera podatność Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Contact Form by Supsystic do wersji 1.10.7 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Media Library Assistant do wersji 3.42 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.

Wtyczka JetSmartFilters firmy Crocoblock zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od początku istnienia do 3.8.6.1 włącznie.

Wtyczka JetElements For Elementor firmy Crocoblock zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od początku istnienia do 2.9.2.5 włącznie.

Wtyczka Media Library Assistant do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji do 3.42 włącznie.

Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.

Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.

Oprogramowanie IsMyGym firmy Zuinq Studio zawiera podatność Reflected Cross-Site Scripting (XSS) w punkcie końcowym rezerwacji, gdzie parametr 'ret' jest odzwierciedlany w odpowiedzi HTTP bez właściwej sanityzacji. Udana eksploatacja może pozwolić atakującemu na wstrzyknięcie dowolnego kodu JavaScript wykonywanego w kontekście przeglądarki ofiary.

W PGYER codefever do wersji 0c35e60f006f9d558cc33a159baf110659351990 funkcja _detail w pliku application/controllers/doc.php (komponent URI Sanitizer) umożliwia path traversal poprzez manipulację argumentem uri_string. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Poprawka ma identyfikator e4433eee96883a222403854e8ac38b3146774a07.

W rathena FluxCP do wersji 98cd4b8fd83228c11b36fb3d097b8e0f7c105a8d funkcja verifyiprange w pliku lib/Flux/PaymentNotifyRequest.php (komponent PayPal IPN Handler) umożliwia błąd walidacji pochodzenia poprzez manipulację argumentem X-Real-IP. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Dostawca został powiadomiony, ale nie odpowiedział.

Wtyczka WP Discussion Board do WordPressa zawiera podatność braku autoryzacji umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.6.0 włącznie.

Wtyczka Better Post & Filter Widgets for Elementor (do wersji 1.9.1) ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność umożliwia nieautoryzowanym użytkownikom wykonanie akcji, do których powinni mieć ograniczony dostęp.

Wtyczka Booking and Rental Manager (do wersji 2.8.2) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowanym użytkownikom dostęp do funkcji zastrzeżonych.

Wtyczka Image Gallery block (do wersji 2.4.1) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu zapisanie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Gutenberg Blocks by Kadence Blocks (do wersji 3.8.0.1) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może zapisać złośliwy skrypt, który następnie zostanie wykonany w przeglądarce użytkownika.

Wtyczka Ad Inserter (do wersji 2.8.18) ma podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu odbicie złośliwego skryptu w odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.

Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.