Katalog podatności CVE

W systemie FOX w wersji 1.4.8 i starszych występuje podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.

Wtyczka Site Reviews w wersji 8.0.11 i starszych umożliwia ujawnienie wrażliwych danych subskrybenta. Podatność ta pozwala nieautoryzowanym użytkownikom na dostęp do informacji, które powinny być chronione.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS we wtyczce Simply Schedule Appointments w wersjach do 1.6.12.2 włącznie.

Podatność wtyczki GetGenie w wersjach do 4.4.2 umożliwia ujawnienie wrażliwych danych subskrybentów. Atakujący może uzyskać dostęp do informacji, które powinny być chronione.

Podatność umożliwia zdalne wykonanie kodu (RCE) wtyczki Blocksy Companion Pro w wersjach do 2.1.45. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad serwerem.

Wtyczka SureCart w wersji 4.3.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Podatność na atak typu Cross Site Scripting (XSS) wtyczki SureCart w wersjach do 4.2.2, umożliwiająca użytkownikowi z rolą subskrybenta wstrzyknięcie złośliwego skryptu.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS w wtyczce Everest Forms w wersjach do 3.4.8 włącznie.

W kontrolerze REST API v2 aplikacji Teable brakuje adnotacji @Permissions na punktach końcowych ORPC, co pozwala każdemu uwierzytelnionemu użytkownikowi na ominięcie kontroli autoryzacji. Atakujący mogą odczytywać schematy tabel, tworzyć tabele oraz modyfikować lub usuwać rekordy w różnych bazach i tabelach za pomocą punktów końcowych takich jak GET /api/v2/tables/get i POST /api/v2/tables/updateRecords.

Podatność umożliwia nieuwierzytelnionemu atakującemu wykonanie skryptów XSS w motywie WoodMart w wersjach do 8.5.3 włącznie. Atak może być przeprowadzony bez konieczności logowania.

Wtyczka Advance Product Search w wersji 1.4.4 i starszych zawiera podatność na nieuwierzytelnione wstrzykiwanie SQL. Atakujący może wysyłać specjalnie spreparowane zapytania, aby wykonać dowolne polecenia SQL na bazie danych.

Podatność IDOR (Insecure Direct Object Reference) w wtyczce Toolset Forms w wersjach do 2.6.24 umożliwia nieuwierzytelnionemu atakującemu dostęp do nieautoryzowanych danych poprzez manipulację identyfikatorem obiektu.

Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.

Wtyczka JetSmartFilters w wersjach do 3.8.3 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać niezautoryzowany atakujący. Luka umożliwia wykonanie dowolnych zapytań SQL na bazie danych.

Wtyczka ShortPixel Adaptive Images w wersjach do 3.11.4 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień i danych wejściowych.

Podatność SQL Injection wtyczki Tourfic w wersjach do 2.22.5 umożliwia subskrybentowi wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.

Podatność w wtyczce MailChimp Block w wersjach do 1.1.15 umożliwia nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Może to prowadzić do nieautoryzowanego dostępu do funkcji lub danych.

Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Quotes llama w wersjach do 3.1.5. Atakujący bez autoryzacji może wykonać dowolne zapytania SQL.

Wtyczka Subscriptions for WooCommerce w wersji 1.9.5 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowane operacje na subskrypcjach bez wymaganego uwierzytelnienia.

Wtyczka Print Invoice & Delivery Notes for WooCommerce w wersji 7.1.1 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniej autoryzacji, co pozwala na ujawnienie poufnych informacji bez konieczności logowania.