Katalog podatności CVE

W Web Application Firewall firmy TR7 Cyber Defense Inc. wykryto podatność na atak typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od 1.0.42.239 do 1.4.0.117.

Wtyczka Surbma | Yoast SEO Breadcrumb Shortcode w wersji 1.2 i starszych zawiera podatność na atak Cross Site Scripting (XSS) ze strony współtwórców. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony przez nieautoryzowanego użytkownika.

Wtyczka Structured Content w wersji 1.7.0 i starszych zawiera podatność na atak Cross Site Scripting (XSS) w funkcji Contributor. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Wtyczka Simple URLs dla WordPressa w wersji 151 i wcześniejszych zawiera podatność na atak Cross Site Scripting (XSS) typu Author Stored. Oznacza to, że autor może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora lub innego użytkownika.

Wtyczka Sendcloud Shipping dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 1.0.29.

Wtyczka Mosaic Gallery – Advanced Gallery w wersji 1.2.0 i starszych zawiera podatność na atak Cross Site Scripting (XSS) w funkcji Contributor. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Wtyczka Livemesh Addons dla WPBakery Page Builder w wersji 3.9.4 i starszych zawiera podatność na atak Cross Site Scripting (XSS) w funkcjonalności Contributor. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Wtyczka Kit (dawniej ConvertKit) dla WooCommerce w wersji 2.1.5 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniej kontroli dostępu do danych przechowywanych przez wtyczkę.

Wtyczka ez Form Calculator Premium w wersji 2.14.1.2 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji lub danych bez wymaganego uwierzytelnienia.

W systemie Booked w wersji 3.0.0 i starszych występuje luka umożliwiająca nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może nakłonić zalogowanego administratora do wykonania niezamierzonych działań bez jego wiedzy.

Wtyczka Flatsome w wersji 3.20.5 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu dla współtwórców. Osoba z rolą współtwórcy może uzyskać nieautoryzowany dostęp do funkcji lub danych, które powinny być dla niej niedostępne.

Wtyczka Flatsome w wersji 3.20.5 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to nieautoryzowanym użytkownikom z rolą subskrybenta dostęp do funkcji lub danych, do których nie powinni mieć uprawnień.

Wtyczka Werkstatt w wersji 4.7.2 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka Werkstatt w wersji 4.7.2 i starszych zawiera podatność polegającą na nieprawidłowej kontroli dostępu dla subskrybentów. Umożliwia to użytkownikom z rolą subskrybenta uzyskanie nieautoryzowanego dostępu do funkcji lub danych.

Wtyczka Martfury - WooCommerce Marketplace dla WordPressa w wersji 3.2.8 i starszych zawiera podatność polegającą na nieprawidłowej kontroli dostępu dla subskrybentów. Umożliwia ona użytkownikom z rolą subskrybenta uzyskanie nieautoryzowanego dostępu do funkcji lub danych, które powinny być dla nich niedostępne.

Wtyczka TheFox dla WordPressa w wersji 3.9.70 i starszych zawiera podatność na atak typu Cross Site Scripting (XSS) w funkcji Contributor. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Wtyczka GeoDirectory w wersji 2.8.161 i starszych zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) z poziomu subskrybenta. Umożliwia to atakującemu z uprawnieniami subskrybenta wysyłanie żądań HTTP do wewnętrznych zasobów serwera.

Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.

Wtyczka Advanced Contact form 7 DB w wersji 2.0.9 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Osoba z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla administratorów.

Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.