Katalog podatności CVE

Wtyczka WordPress Flexible Chat w wersjach do 1.1.0 zawiera podatność ujawnienia wrażliwych danych, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do informacji, które powinny być chronione.

W wtyczce WP Customer Area w wersjach do 8.4.0 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.

W wtyczce GiveWP w wersjach do 4.19.0.1 występuje nieuwierzytelnione naruszenie kontroli dostępu (Broken Access Control).

Wtyczka WordPress Widget Options w wersjach do 4.2.5 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez użytkownika z uprawnieniami autora.

Wtyczka WordPress eCommerce Product Catalog w wersjach do 3.6.5 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka WordPress Mang Board WP w wersjach do 2.4.6 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

W wtyczce Masteriyo - LMS w wersjach do 3.4.3 występuje nieuwierzytelnione usuwanie dowolnych treści.

Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka HUSKY w wersjach do 1.4.6 zawiera podatność Broken Access Control, która nie wymaga uwierzytelnienia. Atakujący może obejść mechanizmy kontroli dostępu i wykonać nieautoryzowane działania.

Wtyczka WordPress SMS Alert Order Notifications w wersjach do 4.0.2 zawiera podatność na eskalację uprawnień, którą można wykorzystać bez uwierzytelnienia.

W wtyczce HUSKY w wersjach do 1.4.6 występuje nieuwierzytelnione ujawnienie poufnych danych.

W wtyczce SureDash w wersjach do 1.12.3 występuje podatność umożliwiająca użytkownikowi z rolą subskrybenta usuwanie dowolnych plików.

W wtyczce MultiVendorX w wersjach do 5.0.20 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.

Numer CVE-2026-109213 został odrzucony i nie powinien być używany. Jest to duplikat rezerwacji numeru CVE-2026-113499, do którego należy się odwoływać. Wszystkie opisy i referencje tego kandydata zostały usunięte, aby zapobiec przypadkowemu użyciu.

Wtyczka YITH WooCommerce Product Add-Ons w wersjach do 4.34.0 zawiera podatność umożliwiającą nieuwierzytelnione obejście zabezpieczeń. Opis nie precyzuje mechanizmu, ale wskazuje na lukę typu bypass dostępną bez logowania.

Wtyczka Ad Inserter w wersjach do 2.8.19 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Booktics firmy Arraytics w wersjach do 1.0.31 zawiera podatność polegającą na braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wszystkich wersji od początku do 1.0.31.

Wtyczka Meow Gallery dla WordPressa jest podatna na przechowywany cross-site scripting poprzez tekst alternatywny załącznika (atrybut aria-label) we wszystkich wersjach do 5.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Forminator Forms dla WordPressa w wersjach do 1.57.3.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'previous_draft_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może usuwać dowolne zapisane szkice innych użytkowników i przejmować ich identyfikatory, nadpisując je własnymi zgłoszeniami formularzy.

Wtyczka ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce dla WordPressa w wersjach do 1.17.10 włącznie jest podatna na przechowywany cross-site scripting poprzez treść przychodzącej wiadomości e-mail z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.