Katalog podatności CVE

Wtyczka JSON API User dla WordPressa do wersji 4.1.0 włącznie zawiera podatność na trwałe ataki XSS. Atakujący z dostępem na poziomie subskrybenta lub wyższym może wstrzyknąć złośliwy skrypt przez parametr 'content' w punkcie końcowym post_comment API, a następnie samodzielnie zatwierdzić komentarz, omijając moderację.

Wtyczka MotoPress Appointment Booking dla WordPress do wersji 2.4.4 zawiera podatność na ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz. Niezautoryzowani atakujący mogą nadpisać dane klienta (imię, nazwisko, email, telefon, customer_id) w niepotwierdzonych rezerwacjach ofiar, wykorzystując publicznie dostępny endpoint REST.

Wtyczka CM Business Directory dla WordPressa do wersji 1.5.7 zawiera podatność na trwałe ataki XSS przez pola meta adresu firmy. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka Ultimate Member dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'about_me' w wersjach do 2.11.4 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Ninja Forms - File Uploads dla WordPressa do wersji 3.3.29 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Nieuwierzytelnieni atakujący mogą odczytać wszystkie wpisy dziennika debugowania przechowywane w tabeli wp_nf3_log lub trwale usunąć wszystkie wiersze z tej tabeli.

Wtyczka WP Import Export Lite dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) we wszystkich wersjach do 3.9.30 włącznie. Podatność występuje w akcji AJAX wpie_import_upload_file_from_url, gdzie po nieudanym wywołaniu wp_safe_remote_get() (które blokuje prywatne adresy IP) następuje wywołanie GuzzleHttp\Client::request() bez ochrony SSRF i z wyłączoną weryfikacją TLS. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wysyłanie żądań do dowolnych lokalizacji, w tym do wewnętrznych usług, takich jak endpoint metadanych chmury.

Podatność w aplikacji ASUS Router na Androida umożliwia nieprawidłowy eksport komponentów aplikacji. Złośliwa aplikacja na tym samym urządzeniu może wysłać spreparowany Intent, powodując otwarcie przez aplikację ASUS Router dowolnego adresu URL.

Wtyczka Cookie Banner for GDPR / CCPA – WPLP Cookie Consent dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 's' we wszystkich wersjach do 4.3.5 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybut bloku 'connectorWidth'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty bloków 'sectionTitleTag' i 'articleTitleTag'. Brak odpowiedniego oczyszczania danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka weDocs dla WordPressa w wersji do 2.3.0 zawiera brak autoryzacji w funkcji do_migration(). Atakujący z dostępem na poziomie Subskrybenta może wywołać migrację danych z BetterDocs do weDocs, tworząc i modyfikując wpisy typu 'docs' oraz dezaktywując wtyczki BetterDocs.

Kontener Azure Blob Storage przechowujący logi urządzeń Gardyn jest publicznie dostępny bez uwierzytelniania. Osoba atakująca może uzyskać dostęp do dowolnego pliku dziennika urządzenia w tym kontenerze.

Panel administracyjny nie zawiera standardowych nagłówków bezpieczeństwa, co umożliwia ataki typu clickjacking oraz cross-site scripting (XSS).

W systemie WatchGuard Fireware OS w klastrze FireCluster, w wyjątkowych okolicznościach, może być używany twardo zakodowany klucz szyfrowania do szyfrowania zapisanych poświadczeń dla zasobów Access Portal. Podatność nie dotyczy urządzeń bez funkcji Access Portal ani pojedynczych Fireboxów nie wdrożonych w klastrze.

W module SIP Proxy systemu WatchGuard Fireware OS występuje podatność na trwały atak XSS (Stored Cross-site Scripting). Jest to dodatkowa niezałatana ścieżka ataku dla CVE-2025-6947.

W module spamBlocker systemu WatchGuard Fireware OS wykryto podatność na trwałe XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron WWW. Jest to dodatkowy, niezałatany wektor ataku dla wcześniejszej podatności CVE-2025-1071.

Podatność typu Stored XSS w module integracji Autotask w systemie WatchGuard Fireware OS. Jest to dodatkowy, niezałatany wektor ataku dla CVE-2025-13938.

W module integracji z ConnectWise Technology w systemie WatchGuard Fireware OS występuje podatność na trwały atak XSS (Stored Cross-site Scripting). Jest to dodatkowa niezałatana ścieżka ataku dla CVE-2025-13937.

W module integracji z Tigerpaw Technology w systemie WatchGuard Fireware OS występuje podatność na trwały atak XSS (Stored Cross-site Scripting). Jest to dodatkowa niezałatana ścieżka ataku dla CVE-2025-13936.

Podatność w Fireware Management Web UI umożliwia uwierzytelnionemu administratorowi wywołanie stanu odmowy usługi (DoS) poprzez wysłanie spreparowanych danych do endpointu put_data, który wykonuje niebezpieczną deserializację.