Katalog podatności CVE

Wtyczka Jenkins Nexus Task Runner Plugin w wersji 0.9.2 i wcześniejszych zawiera podatność na atak typu Cross-Site Request Forgery (CSRF). Umożliwia ona atakującym połączenie się z adresem URL wskazanym przez atakującego, używając poświadczeń wskazanych przez atakującego.

Wtyczka Jenkins Start Windocks Containers Plugin w wersji 1.4 i wcześniejszych nie sprawdza uprawnień, co pozwala atakującemu z uprawnieniem Overall/Read na połączenie się z adresem URL wskazanym przez atakującego.

Podatność typu cross-site request forgery (CSRF) w wtyczce Jenkins Start Windocks Containers Plugin w wersji 1.4 i wcześniejszych pozwala atakującemu na nawiązanie połączenia z adresem URL wskazanym przez atakującego.

Wtyczka Jenkins Themis Plugin w wersji 1.4.1 i wcześniejszych ma brak sprawdzenia uprawnień, co pozwala atakującym z uprawnieniami Overall/Read na połączenie się z serwerem HTTP wskazanym przez atakującego.

Podatność CSRF w wtyczce Jenkins Themis Plugin w wersji 1.4.1 i wcześniejszych pozwala atakującym na połączenie z kontrolowanym przez atakującego serwerem HTTP.

Plugin Jenkins Eggplant Runner ustawia właściwość systemową Java jdk.http.auth.tunneling.disabledSchemes na pustą wartość, co wyłącza mechanizm ochronny środowiska wykonawczego Java. Umożliwia to atakującym obejście ograniczeń dotyczących uwierzytelniania tunelowania HTTP.

Wtyczka Jenkins Extensible Choice Parameter Plugin w wersji 239.v5f5c278708cf i wcześniejszych zawiera podatność typu cross-site request forgery (CSRF). Umożliwia ona atakującym wykonanie kodu Groovy w piaskownicy.

Wtyczka Jenkins MCP Server Plugin w wersji 0.84.v50ca_24ef83f2 i wcześniejszych nie wykonuje kontroli uprawnień w wielu narzędziach MCP. Umożliwia to atakującym wyzwalanie buildów oraz uzyskiwanie informacji o konfiguracji zadań i chmury, do których nie powinni mieć dostępu.

Wtyczka Call Now Button dla WordPressa do wersji 1.5.4 włącznie ma brak sprawdzenia uprawnień w wielu funkcjach, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subscriber i wyższym na nieautoryzowany dostęp do danych, takich jak linki do portalu rozliczeniowego, tokeny sesji czatu, status domeny oraz możliwość modyfikacji informacji rozliczeniowych. Częściowo naprawiono w wersji 1.5.4, a w pełni w 1.5.5.

Wtyczka Call Now Button dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji activate we wszystkich wersjach do 1.5.3 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym połączenie wtyczki z ich kontem nowbuttons.com i dodawanie złośliwych przycisków na stronie. Podatność jest wykorzystywana tylko na świeżych instalacjach, gdzie wtyczka nie została wcześniej skonfigurowana z kluczem API.

Podatność typu klasyczny buffer overflow (kopiowanie bufora bez sprawdzania rozmiaru danych wejściowych) w stacji ładowania ABB Terra AC wallbox. Problem dotyczy wersji do 1.8.33 włącznie.

Podatność umożliwia atakującemu dostęp do części aplikacji niechronionych kontrolą dostępu. Atakujący może uzyskać dostęp do ścieżki '.../epsilonnet/License/About.aspx' i pozyskać informacje o licencji oraz konfiguracji produktu, w tym o zainstalowanych modułach.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) poprzez adresy URL we wszystkich wersjach do 7.5.0.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Premmerce Product Search for WooCommerce (wersje do 2.2.7 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka MasterStudy LMS Pro firmy StylemixThemes zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji przed 4.7.16.

Wtyczka Masterstudy Elementor Widgets firmy StylemixThemes zawiera podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji do 1.2.4 włącznie.

Wtyczka Masterstudy Elementor Widgets od StylemixThemes do wersji 1.2.4 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.

Wtyczka TieLabs Jannah - Extensions (jannah-extensions) do wersji 1.1.4 ma podatność na DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Motyw ThemeSphere SmartMag (smart-mag) do wersji 10.3.1 ma podatność na Stored XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Motyw TieLabs Sahifa (sahifa) przed wersją 5.8.6 ma podatność na DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.