Podatności MapSVG

Wtyczka MapSVG zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka MapSVG (mapsvg-lite-interactive-vector-maps) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Podatność występuje w wersjach od n/a do 8.16.1.

Wtyczka MapSVG zawiera podatność braku autoryzacji, która pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.

Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący.

MapSVG w wersjach do 8.14.0 zawiera podatność na dowolne przesyłanie plików przez administratora. Administrator może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu na serwerze.

Wtyczka MapSVG w wersjach do 8.14.0 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.

Wtyczka MapSVG do WordPressa (wersje do 8.16.1) zawiera podatność typu Path Traversal polegającą na niewłaściwym ograniczeniu ścieżki do katalogu. Może to pozwolić atakującemu na dostęp do plików poza zamierzonym katalogiem.

MapSVG w wersjach do 8.15.0 zawiera podatność na nieuwierzytelniony Server Side Request Forgery (SSRF). Atakujący może wysyłać żądania z serwera do dowolnych zasobów, w tym wewnętrznych, bez uwierzytelnienia.

Wtyczka MapSVG dla WordPressa do wersji 8.14.0 włącznie jest podatna na przechowywany atak XSS przez atrybuty w opcjach mapy. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdej wizycie na zainfekowanej stronie.

Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.

Wtyczka MapSVG w wersji do 8.14.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych.

Wtyczka MapSVG w wersji 8.14.0 i starszych zawiera podatność na Cross Site Scripting (XSS) z poziomu kontrybutora. Atakujący z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.

Podatność wtyczki MapSVG dla WordPress (wszystkie wersje do 8.14.0) umożliwia przesyłanie dowolnych plików z powodu braku walidacji typu pliku w konstruktorze SVGFile. Błąd w warunku warunkowym uniemożliwia walidację. Atak wymaga dostępu administratora.

Wtyczka MapSVG dla RomanCode zawiera podatność typu Path Traversal (niewłaściwe ograniczenie ścieżki do katalogu), występującą w wersjach przed 8.6.12.

Wtyczka MapSVG do WordPressa (wersje do 8.7.22) jest podatna na DOM-Based Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność wynika z braku odpowiedniego kodowania danych wprowadzanych przez użytkownika, co pozwala na wykonanie złośliwego skryptu w przeglądarce ofiary.