Katalog podatności CVE

Wtyczka Essential Addons for Elementor dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) w widżecie Kalendarza wydarzeń. Podatność występuje we wszystkich wersjach do 6.6.2 włącznie, z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych dla tytułów wydarzeń pochodzących z The Events Calendar.

Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.

Wtyczka Smash Balloon Social Photo Feed – Easy Social Feeds dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 6.11.1 włącznie. Brak lub nieprawidłowa walidacja nonce w funkcji maybe_connection_data umożliwia nieuwierzytelnionym atakującym nadpisanie tokenów dostępu oEmbed dla Instagrama i Facebooka.

Wtyczka Advanced iFrame dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr 'additional' we wszystkich wersjach do 2026.1 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

W systemie LimRAD NAC firmy Limatek System Inc. wykryto podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Luka umożliwia atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany w przeglądarkach innych użytkowników.

Wtyczka Themehunk Login Registration dla WordPressa do wersji 1.0.2 włącznie umożliwia eskalację uprawnień. Niezautoryzowani atakujący mogą tworzyć konta z rolą edytora, gdy rejestracja publiczna jest włączona, poprzez manipulację parametrem 'role' w żądaniu REST.

Wtyczka Recurio – Ultimate Subscription dla WooCommerce w wersjach do 1.1.3 zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'data'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z uprawnieniami menedżera sklepu lub wyższymi do dołączania dodatkowych zapytań SQL.

Wtyczka Website Builder by SeedProd dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode `seedprodnestedmenuwidget`. Podatność występuje we wszystkich wersjach do 6.20.2 włącznie, z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Podatność w oprogramowaniu Nomysem firmy NOMYSOFT Informatics Education and Consulting Inc. umożliwia ujawnienie wrażliwych informacji z powodu niezgodnych polityk. Luka pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji do 08072026 włącznie.

Podatność w parserze PDF pozwala na wstrzyknięcie złośliwych zewnętrznych encji XML, które odwołują się do lokalnych ścieżek. Atakujący może uzyskać dostęp do dowolnych plików lokalnych w zakresie uprawnień użytkownika.

Logika parsowania nagłówka pliku PRC ufa opisowi struktury pliku, zakładając, że tablica zawiera elementy, co prowadzi do odczytu poza zakresem i awarii aplikacji.

Podczas analizy plików PRC brakuje weryfikacji granic indeksu encji, co prowadzi do odczytu poza zakresem tablicy encji. W rezultacie aplikacja ulega awarii.

Aplikacja otwiera plik PDF zawierający nieprawidłową przestrzeń kolorów, której atrybuty odwołują się do poprawnej, ale semantycznie nieprawidłowej funkcji. Wynik działania funkcji nie jest weryfikowany, co prowadzi do odczytu nieprawidłowego wskaźnika i dostępu do pamięci poza dozwolonym obszarem, powodując awarię aplikacji.

Podatność w rendererze powoduje, że nieprawidłowy obiekt obrazu prowadzi do użycia błędnego wskaźnika bufora podczas konwersji linii skanowania, co skutkuje awarią aplikacji.

Podatność w procesie otwierania strony i formatowania formularza powoduje niespójność stanu dokumentu z powodu reentrancji JavaScript. Wykorzystanie nieaktualnych informacji o stronie prowadzi do próby dostępu do nieprawidłowych adresów, co skutkuje awarią aplikacji.

Podatność w aplikacji do przeglądania PDF polega na tym, że JavaScript wykonuje operacje na stronie i dokumencie, co powoduje utratę synchronizacji obiektów strony. Renderer nadal ufa nieaktualnej liczbie stron, co prowadzi do dostępu poza zakresem i awarii aplikacji.

Wtyczka Wp Js Detect dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.0.9 włącznie. Brak walidacji nonce w funkcji plugin_settings umożliwia nieuwierzytelnionym atakującym aktualizację tekstu powiadomień i ustawień CSS wtyczki, co pozwala na wstrzyknięcie niesanitowanej treści wyświetlanej na stronie. Atak wymaga nakłonienia administratora do kliknięcia w link.

Wtyczka Bulk Order Update for WooCommerce dla WordPressa w wersji do 1.6 zawiera podatność na odczyt dowolnych plików. Niezautoryzowani atakujący mogą odczytać pierwszą linię dowolnego pliku na serwerze, np. /etc/passwd, wykorzystując handler AJAX bouw_fetch_csv_data().

Wtyczka User Management dla WordPressa do wersji 1.2 włącznie zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą modyfikować konfigurację pól eksportu przechowywaną w opcji uiewp_export_field, kontrolując które pola użytkownika (np. hashe haseł) są uwzględniane w eksporcie CSV oraz jak mapowane są kolumny podczas importu.

Wtyczka Chatra Live Chat + ChatBot + Cart Saver dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 1.0.12 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i ucieczki wyjścia, co pozwala uwierzytelnionym atakującym z uprawnieniami administratora na wstrzyknięcie dowolnych skryptów.