Katalog podatności CVE

Wtyczka Reuse Builder dla WordPressa jest podatna na przechowywany XSS poprzez shortcode 'reuse_builder_single_post_title' we wszystkich wersjach do 1.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania atrybutu 'style'. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka All in One Time Clock Lite dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień we wszystkich wersjach do 2.0.3 włącznie. Wtyczka udostępnia akcje AJAX na poziomie administratora nieuwierzytelnionym użytkownikom poprzez hooki wp_ajax_nopriv_, opierając się tylko na sprawdzeniu nonce bez weryfikacji uprawnień. Umożliwia to nieuwierzytelnionym atakującym tworzenie opublikowanych stron, tworzenie rekordów zmian z problemami integralności oraz pobieranie raportów czasu zawierających dane osobowe (imiona i nazwiska pracowników oraz harmonogramy pracy).

Wtyczka Bootstrap Multi-language Responsive Portfolio dla WordPressa jest podatna na przechowywany XSS poprzez ustawienia administracyjne we wszystkich wersjach do 1.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Podatność dotyczy tylko instalacji multisite oraz tych, w których wyłączono unfiltered_html.

Występuje przejściowa odmowa usługi (DOS), gdy zdalne urządzenie wysyła nieprawidłowe żądanie połączenia podczas skanowania BT connectable LE.

Podczas przetwarzania wiadomości od klienta z nieprawidłowym ładunkiem może dojść do ujawnienia informacji.

Podczas rejestrowania poleceń od klientów za pośrednictwem diagHal może dojść do ujawnienia informacji.

Wtyczka Label Plugins dla WordPressa we wszystkich wersjach do 0.5 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji label_plugins_options(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień i wstrzyknięcie złośliwych skryptów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka ViaAds dla WordPress w wersjach do 2.1.2 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji ViaAds_pluginHandler, co pozwala nieuwierzytelnionym atakującym na modyfikację klucza API i ustawień zgody na pliki cookie.

Wtyczka WordPress "WP Global Screen Options" jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 0.2 włącznie. Brak walidacji nonce w obsłudze akcji 'updatewpglobalscreenoptions' umożliwia nieuwierzytelnionym atakującym modyfikację globalnych ustawień ekranu dla wszystkich użytkowników.

Wtyczka TablePress – Tables in WordPress made easy jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez atrybuty shortcode `table` we wszystkich wersjach do 3.2.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Greenshift – animation and page builder blocks dla WordPress jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez atrybuty Chart Data we wszystkich wersjach do 12.2.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Problem z prywatnością w systemach Apple został rozwiązany poprzez przeniesienie danych wrażliwych. Luka występowała w iOS 18.7.2 i iPadOS 18.7.2, iOS 26.1 i iPadOS 26.1, macOS Tahoe 26.1, visionOS 26.1 oraz watchOS 26.1. Aplikacja mogła być w stanie fingerprintować użytkownika.

W Xcode 26.1 naprawiono przepełnienie bufora poprzez poprawę sprawdzania granic. Podatność mogła pozwolić użytkownikowi w uprzywilejowanej pozycji sieciowej na wywołanie ataku typu denial-of-service.

Problem z niespójnym interfejsem użytkownika został rozwiązany poprzez lepsze zarządzanie stanem. Odwiedzenie złośliwej strony internetowej może prowadzić do spoofingu interfejsu użytkownika.

Apple naprawiło problem polegający na tym, że aplikacja może uzyskać dostęp do poufnych danych użytkownika. Luka została załatana poprzez dodatkowe sprawdzenia uprawnień. Poprawka jest dostępna w iOS 18.7.2, iPadOS 18.7.2, macOS Sequoia 15.7.2, macOS Sonoma 14.8.2 oraz macOS Tahoe 26.1.

Problem z autoryzacją został rozwiązany poprzez ulepszone zarządzanie stanem. Podatność została naprawiona w iOS 26.1, iPadOS 26.1, macOS Sequoia 15.7.2, macOS Sonoma 14.8.2, macOS Tahoe 26.1 oraz visionOS 26.1. Aplikacja może uzyskać dostęp do poufnych danych użytkownika.

Problem został rozwiązany poprzez ulepszone kontrole. Luka występowała w Safari 26.1, iOS 18.7.2 i iPadOS 18.7.2, iOS 26.1 i iPadOS 26.1, macOS Tahoe 26.1 oraz visionOS 26.1. Odwiedzenie złośliwej witryny może prowadzić do fałszowania paska adresu.

Problem został rozwiązany poprzez ulepszone mechanizmy sprawdzania. Podatność została naprawiona w systemach macOS Sequoia 15.7.2 oraz macOS Tahoe 26.1. Aplikacja może być w stanie wydostać się z piaskownicy (sandbox).

Problem z uprawnieniami został rozwiązany poprzez dodanie dodatkowych ograniczeń. Luka jest naprawiona w macOS Sequoia 15.7.2, macOS Sonoma 14.8.2 oraz macOS Tahoe 26.1. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

W systemie macOS występuje błąd use-after-free, który został naprawiony poprzez poprawę zarządzania pamięcią. Problem może zostać wykorzystany przez aplikację do spowodowania nieoczekiwanego zakończenia działania systemu.