Katalog podatności CVE

Wtyczka LeadBI dla WordPressa zawiera podatność na przechowywany atak XSS (Cross-site Scripting) w wersjach do 1.7 włącznie. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.

Podatność w wtyczce Houzez (favethemes) pozwala na obejście autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Problem dotyczy wersji do 4.2.5 włącznie i wynika z nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Templazee w wersji do 1.0.2 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Fusion Builder do wersji 3.13.2 zawiera podatność na ataki typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.

Podatność typu Stored XSS w wtyczce JetElements For Elementor do wersji 2.7.8 włącznie. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce użytkownika.

Podatność typu Stored XSS w wtyczce JetEngine do wersji 3.7.3 włącznie. Atakujący może wstrzyknąć trwały skrypt, który będzie wykonywany w przeglądarkach użytkowników.

Wtyczka Smash Balloon Social Post Feed firmy Syed Balkhi cierpi na brak autoryzacji (Missing Authorization) w wersjach od n/a do 4.3.2 włącznie. Luka ta pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Podatność typu DOM-Based XSS w motywie WoodMart przed wersją 8.3.2. Atakujący może wykorzystać podatność do wykonania skryptu w przeglądarce ofiary.

Podatność typu Stored XSS w wtyczce JetBlocks For Elementor do wersji 1.3.18 włącznie. Atakujący może zapisać złośliwy skrypt, który będzie wykonywany przy przeglądaniu strony.

Podatność typu Reflected XSS w wtyczce JetBlog do wersji 2.4.4 włącznie. Atakujący może wysłać spreparowany link, który wykonuje skrypt w przeglądarce ofiary.

Podatność typu Stored XSS w wtyczce JetBlog do wersji 2.4.4.1 włącznie. Atakujący może zapisać złośliwy skrypt, który będzie wykonywany przy przeglądaniu strony.

Wtyczka Ultimate Blocks do WordPressa w wersjach do 3.3.6 włącznie jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

Podatność typu DOM-Based XSS w wtyczce JetWooBuilder do wersji 2.1.20 włącznie. Atakujący może wykorzystać podatność do wykonania skryptu w przeglądarce ofiary.

Podatność typu Stored XSS w wtyczce JetWooBuilder do wersji 2.1.20.1 włącznie. Atakujący może zapisać złośliwy skrypt, który będzie wykonywany przy przeglądaniu strony.

Wtyczka Seriously Simple Podcasting dla WordPressa jest podatna na skrypty krzyżowe oparte na DOM (DOM-Based XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka ta występuje w wersjach do 3.11.1 włącznie.

Wtyczka WPeMatico RSS Feed Fetcher firmy etruel cierpi na brak autoryzacji (Missing Authorization) w wersjach od n/a do 2.8.3 włącznie. Luka ta pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Wtyczka Web Accessibility By accessiBe (wersje do 2.10) ma podatność braku autoryzacji. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność Server-Side Request Forgery (SSRF) w Icegram Icegram Express Pro (email-subscribers-premium) umożliwia atak typu Server Side Request Forgery. Problem dotyczy Icegram Express Pro w wersjach od n/a do 5.9.5 włącznie.

W wtyczce CoSchedule firmy CoSchedule (coschedule-by-todaymade) występuje brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.4.0 włącznie.

Wtyczka Email Subscription Popup (wersje do 1.2.26 włącznie) jest podatna na przechowywany cross-site scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod może zostać zapisany i wykonany u użytkowników przeglądających stronę.