Katalog podatności CVE

Brak autoryzacji w VikBooking Hotel Booking Engine & PMS do wersji 1.8.2 włącznie. Podatność może pozwolić na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W urządzeniach Elspec G5 do wersji 1.2.2.19 osoba mająca fizyczny dostęp do urządzenia może zresetować hasło administratora, wkładając dysk USB (zawierający publicznie udokumentowany ciąg resetujący) do portu USB.

Brak autoryzacji w Jock On Air Now (JOAN) do wersji 6.0.4 włącznie. Podatność pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W wtyczce WordPress All In One Login (change-wp-admin-login) autorstwa Saad Iqbal występuje podatność obejścia uwierzytelniania poprzez podszywanie się (spoofing), umożliwiająca podszycie się pod tożsamość. Problem dotyczy wersji od nieznanej do 2.0.8 włącznie.

Brak autoryzacji w imEvent do wersji 3.4.0 włącznie. Podatność pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

Wtyczka Backup and Move (autorstwa Gaurav Aggarwal) do wersji 0.1 włącznie ma podatność na brak autoryzacji (Missing Authorization). Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Sertifier Certificate & Badge Maker w wersjach do 1.21 włącznie ma lukę braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawniony dostęp do funkcji lub danych chronionych przez wtyczkę.

Wtyczka Easy Appointments (wersje do 3.12.14) zawiera podatność Basic XSS polegającą na niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to prowadzić do wstrzyknięcia kodu.

Wtyczka WordPress Ajax Search Lite (wersje do 4.13.3 włącznie) jest podatna na deserializację niezaufanych danych, co umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Podatność wynika z niebezpiecznego przetwarzania danych wejściowych.

Wtyczka Advanced Google Maps (wp-google-map-gold) firmy flippercode zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 5.8.4 włącznie.

Wtyczka Smush Image Compression and Optimization (WPMU DEV) dla WordPressa jest podatna na path traversal typu '.../...//' w wersjach do 3.17.0 włącznie. Podatność może umożliwić dostęp do plików poza zamierzonym katalogiem.

IBM Business Automation Workflow w kontenerach (wersje 24.0.0 do 24.0.0-IF006, 24.0.1 do 24.0.1-IF004, 25.0.0 do 25.0.0-IF001) oraz IBM Business Automation Workflow traditional z Process Federation Server (wersje 24.0.0 do 24.0.1 i 25.0.0) są podatne na cross-site scripting. Luka pozwala nieuwierzytelnionemu atakującemu na osadzenie dowolnego kodu JavaScript w interfejsie webowym, co może zmienić zamierzone działanie i potencjalnie doprowadzić do ujawnienia poświadczeń w zaufanej sesji.

Podatność CVE-2025-10955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Netigma firmy Netcad Software Inc. Umożliwia to ataki typu XSS (Cross-site Scripting) poprzez ciągi zapytań HTTP.

Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.

Wtyczka Better Find and Replace dla WordPressa do wersji 1.7.7 włącznie ma brak sprawdzenia uprawnień w funkcji rtafar_ajax(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subscriber na użycie klucza API OpenAI, powodując zużycie limitu i potencjalne koszty.

Wtyczka Hubbub Lite dla WordPressa (wersje do 1.36.0 włącznie) jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'dpsp_list_attention_search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Blog2Social dla WordPressa jest podatna na atak SSRF w wersjach do 8.6.0 włącznie przez funkcję getFullContent(). Uwierzytelnieni atakujący z dostępem na poziomie Subscriber mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji, co może być wykorzystane do odczytu i modyfikacji informacji z usług wewnętrznych.

W GROWI przed wersją 7.2.10 występuje podatność cross-site scripting. Złośliwy użytkownik może utworzyć stronę ze spreparowaną treścią, co pozwala na wykonanie dowolnego skryptu w przeglądarce ofiary odwiedzającej tę stronę.

Wtyczka Blog2Social dla WordPressa jest podatna na ograniczone przesyłanie plików z powodu nieprawidłowej weryfikacji uprawnień w funkcji uploadVideo() w wersjach do 8.6.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą przesyłać pliki mp4 do katalogu 'wp-content/uploads/<YYYY>/<MM>/'.

Wtyczka Easy Digital Downloads dla WordPressa w wersjach do 3.5.2 włącznie jest podatna na manipulację zamówieniami z powodu obejścia weryfikacji zamówienia. Gdy w treści żądania POST zostanie przesłany parametr verification_override=1, weryfikacja jest bezwarunkowo pomijana, co pozwala nieuwierzytelnionemu atakującemu przesłać sfałszowane powiadomienie IPN i uznać je za zweryfikowane. Wymagany jest prawidłowy identyfikator transakcji PayPal, co ogranicza manipulację do zamówień złożonych przez atakującego posiadającego konto klienta.