Katalog podatności CVE

Wtyczka Directorist dla WordPressa zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka ta dotyczy wersji do 8.5.10 włącznie.

Wtyczka Advanced Coupons for WooCommerce Coupons dla WordPressa do wersji 4.7.1.1 włącznie zawiera podatność na DOM-based XSS. Niezabezpieczone dane wejściowe podczas generowania strony umożliwiają atakującemu wstrzyknięcie złośliwego skryptu w kontekście DOM.

Wtyczka AI Engine (Pro) dla WordPressa ma brak autoryzacji, co pozwala atakującemu na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka WordPress Seriously Simple Podcasting do wersji 3.14.2 włącznie cierpi na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka InstaWP Connect dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 0.1.2.5 włącznie.

Wtyczka FOX woocommerce-currency-switcher dla WordPress do wersji 1.4.5 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka themesflat-addons-for-elementor dla WordPressa do wersji 2.3.2 włącznie zawiera podatność na trwały XSS. Niezabezpieczone dane wejściowe podczas generowania strony umożliwiają atakującemu wstrzyknięcie złośliwego skryptu.

Wtyczka SureCart dla WordPressa do wersji 4.0.2 ma podatność brakującej autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Youtube Embed Plus dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 14.2.4 włącznie.

Wtyczka Hide My WP Ghost dla WordPressa zawiera podatność na otwarte przekierowanie do niezaufanej witryny, co umożliwia phishing. Podatność dotyczy wersji poniżej 7.0.00.

Wtyczka VK All in One Expansion Unit dla WordPressa do wersji 9.113.3 włącznie zawiera podatność na trwały XSS. Niezabezpieczone dane wejściowe podczas generowania strony umożliwiają atakującemu wstrzyknięcie złośliwego skryptu.

Wtyczka Post Expirator dla WordPressa do wersji 4.9.4 włącznie zawiera podatność na DOM-based XSS. Niezabezpieczone dane wejściowe podczas generowania strony umożliwiają atakującemu wstrzyknięcie złośliwego skryptu w kontekście DOM.

Wtyczka CartFlows dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 2.2.3 włącznie.

Wtyczka User Feedback dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.10.1 włącznie.

Wtyczka Simple History dla WordPressa wysyła wrażliwe informacje w danych transmisji. Podatność umożliwia odczytanie osadzonych danych wrażliwych.

Wtyczka PageLayer dla WordPressa do wersji 2.0.8 ma podatność ujawnienia wrażliwych informacji systemowych, która umożliwia odzyskanie osadzonych danych wrażliwych.

Wtyczka Coming Soon Page, Under Construction & Maintenance Mode by SeedProd dla WordPressa jest podatna na atak SSRF (Server-Side Request Forgery).

Wtyczka Magic Conversation For Gravity Forms dla WordPress do wersji 3.0.97 zawiera podatność na trwałe XSS przez shortcode 'magic-conversation' z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjściowego atrybutów. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzyknąć dowolne skrypty.

Wtyczka Element Pack Addons for Elementor dla WordPressa (do wersji 8.4.2) jest podatna na Stored Cross-Site Scripting (XSS) przez widget SVG Image. Funkcja render_svg() pobiera treść SVG z zdalnych URL-i bez odpowiedniej sanityzacji, co pozwala uwierzytelnionym atakującym (od poziomu Contributor) na wstrzyknięcie dowolnego JavaScriptu w plikach SVG.

Wtyczka Awesome Support dla WordPressa do wersji 6.3.7 zawiera podatność na Insecure Direct Object Reference. Funkcja wpas_get_ticket_replies_ajax() nie sprawdza, czy uwierzytelniony użytkownik ma uprawnienia do przeglądania konkretnego zgłoszenia, co pozwala atakującym z dostępem subskrybenta lub wyższym na dostęp do wrażliwych informacji ze wszystkich zgłoszeń.