Katalog podatności CVE

Firmware inteligentnego zamka AuntyFey Smart Combination Lock (wersje do 2025-12-24) zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu w zasięgu Bluetooth Low Energy (BLE) spowodowanie odmowy usługi poprzez wielokrotne inicjowanie połączeń BLE. Ciągłe próby połączeń przerywają wprowadzanie kodu na klawiaturze i wielokrotnie wymuszają stany blokady, uniemożliwiając uprawnionym użytkownikom odblokowanie urządzenia.

Wtyczka Responsive Pricing Table dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'table_currency' we wszystkich wersjach do 5.1.12 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Page Keys dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'page_key' we wszystkich wersjach do 1.3.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem administratora wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji multi-site i instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka Latest Tabs dla WordPressa jest podatna na ataki typu Cross-Site Request Forgery we wszystkich wersjach do 1.5 włącznie. Brakuje walidacji nonce w handlerze aktualizacji ustawień w admin-page.php, co umożliwia nieuwierzytelnionym atakującym modyfikację ustawień wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Wtyczka Newsletter Email Subscribe dla WordPressa jest podatna na ataki typu Cross-Site Request Forgery w wersjach do 2.4 włącznie. Nieprawidłowa walidacja nonce w funkcji nels_settings_page umożliwia nieuwierzytelnionym atakującym aktualizację ustawień wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Bit Form – Contact Form Plugin dla WordPressa jest podatna na nieautoryzowane wykonanie workflow z powodu braku autoryzacji w funkcji triggerWorkFlow we wszystkich wersjach do 2.21.6 włącznie. Wynika to z błędu logicznego w weryfikacji nonce, gdzie kontrola bezpieczeństwa blokuje żądania tylko wtedy, gdy weryfikacja nonce nie powiedzie się i użytkownik jest zalogowany. Umożliwia to nieuwierzytelnionym atakującym ponowne wykonanie workflow formularza i wywołanie wszystkich skonfigurowanych integracji (webhooki, powiadomienia e-mail, integracje CRM, platformy automatyzacji) poprzez akcję AJAX bitforms_trigger_workflow, jeśli tylko zdobędą identyfikator wpisu i identyfikatory logów z odpowiedzi na legalne zgłoszenie formularza.

Wtyczka Customer Reviews for WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez parametr 'displayName' we wszystkich wersjach do 5.93.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie klienta i wyżej wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy odwiedzeniu strony. Atak może być przeprowadzony przez nieuwierzytelnionych atakujących, jeśli włączona jest opcja gościnnego zamawiania, ale wymaga znajomości identyfikatora formularza, który trzeba uzyskać poprzez złożenie zamówienia.

Wtyczka Simple User Meta Editor dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez pole wartości meta użytkownika we wszystkich wersjach do 1.0.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem administratora wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych i instalacji z wyłączonym unfiltered_html.

Wtyczka twinklesmtp – Email Service Provider For WordPress jest podatna na Stored Cross-Site Scripting (XSS) w ustawieniach nadawcy w wersjach do 1.03 włącznie. Podatność wynika z niedostatecznej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia. Atakujący z uprawnieniami administratora (lub wyższymi) mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność dotyczy tylko instalacji wielostanowiskowych oraz instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka HBLPAY Payment Gateway for WooCommerce dla WordPressa jest podatna na odbity XSS przez parametr 'cusdata' we wszystkich wersjach do 5.0.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się, jeśli użytkownik kliknie w link.

Wtyczka Flashcard dla WordPressa do wersji 0.9 jest podatna na Path Traversal przez atrybut 'source' w shortcode 'flashcard'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym odczyt dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka NS IE Compatibility Fixer dla WordPress jest podatna na ataki CSRF we wszystkich wersjach do 2.1.5 włącznie. Wynika to z braku walidacji nonce przy aktualizacji ustawień, co pozwala nieuwierzytelnionym atakującym na modyfikację ustawień wtyczki poprzez sfałszowane żądanie.

Wtyczka Drag and Drop Multiple File Upload – Contact Form 7 dla WordPress w wersjach do 1.3.9.2 włącznie jest podatna na ograniczone przesyłanie plików niebezpiecznego typu, ponieważ nie blokuje plików .phar i .svg. Umożliwia to nieuwierzytelnionym atakującym przesłanie dowolnych plików .phar lub .svg zawierających złośliwy kod PHP lub JavaScript, co może prowadzić do zdalnego wykonania kodu (jeśli serwer wykonuje .phar jako PHP) lub przechowywanego XSS.

Plugin LearnPress – WordPress LMS jest podatny na nieautoryzowane usuwanie plików w wersjach do 4.3.2.2 włącznie, poprzez endpoint REST API /wp-json/lp/v1/material/{file_id}. Niedopasowanie parametrów między operacją DELETE a kontrolą autoryzacji umożliwia uwierzytelnionym atakującym z dostępem nauczyciela usuwanie plików materiałów innych nauczycieli.

Wtyczka My Album Gallery dla WordPressa jest podatna na Stored Cross-Site Scripting przez tytuły obrazów we wszystkich wersjach do 1.0.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia na atrybucie 'attachment->title'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Author i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Key Figures dla WordPressa jest podatna na Stored Cross-Site Scripting przez funkcję kf_field_figure_default_color_render we wszystkich wersjach do 1.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem administratora wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji multi-site i instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka AI BotKit – AI Chatbot & Live Support dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'id' w shortcode `ai_botkit_widget` we wszystkich wersjach do 1.1.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka aBlocks – WordPress Gutenberg Blocks dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnienie wrażliwych informacji z powodu braku kontroli uprawnień w wielu akcjach AJAX we wszystkich wersjach do 2.4.0 włącznie. Uwierzytelnieni atakujący z poziomem subskrybenta mogą odczytać ustawienia wtyczki, w tym widoczność bloków, konfigurację trybu konserwacji oraz klucze API zewnętrznych usług email marketingu.

Motyw WordPress Plant - Gardening & Houseplants firmy EngoTheme zawiera podatność umożliwiającą ujawnienie wrażliwych informacji systemowych nieautoryzowanym podmiotom. Podatność dotyczy wersji motywu do 1.0.0 włącznie.

Na platformach Arista EOS z włączoną konfiguracją MACsec, specjalnie spreparowany pakiet może spowodować nieoczekiwane zakończenie działania procesu MACsec. Ciągłe otrzymywanie takich pakietów przy określonych konfiguracjach MACsec może prowadzić do długotrwałych zakłóceń ruchu dataplane.