Katalog podatności CVE

Wtyczka BP Direct Menus dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'bpdm_login' we wszystkich wersjach do 1.0.0 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka dbview dla WordPressa w wersjach do 0.5.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez shortcode 'dbview'. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka My AskAI dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'myaskai' we wszystkich wersjach do 1.0.0 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka Any News Ticker dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode 'any-ticker' we wszystkich wersjach do 3.1.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i braku escapingu w atrybutach dostarczanych przez użytkownika.

Wtyczka All Social Share Options dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'sc' we wszystkich wersjach do 1.0 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka Layers dla WordPressa w wersjach do 0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez shortcode 'webcam'. Przyczyną jest niewystarczająca sanityzacja danych wejściowych i escapowanie danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka Eulerpool Research Systems dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'aaq' we wszystkich wersjach do 4.0.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka Qyrr do WordPressa do wersji 2.0.7 ma podatność nieograniczonego przesyłania plików z powodu braku walidacji typów plików w funkcji blob_to_file(). Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą przesyłać dowolne pliki, co może umożliwić zdalne wykonanie kodu.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach 1.26.3 i starszych występuje podatność na enumerację katalogów poprzez ustawienie ścieżki w polu motywu, co pozwala atakującym uzyskać dodatkowe informacje o serwerze.

FreshRSS w wersjach 1.26.3 i niższych ma obejście ochrony przed double clickjacking, co pozwala oszukać administratora, aby kliknął przycisk Promote na stronie zarządzania innego użytkownika po dwukrotnym kliknięciu w przycisk na stronie kontrolowanej przez atakującego.

FreshRSS to darmowy, samodzielnie hostowany agregator RSS. W wersjach 1.26.3 i starszych nie sanityzuje niektórych atrybutów obsługi zdarzeń w treści kanałów, co umożliwia wykonanie ładunku XSS, jeśli znajdzie się stronę renderującą wpisy bez CSP. Wymaga to wcześniejszego włączenia ustawienia Allow API access przez administratora. Możliwe jest przejęcie konta poprzez zmianę hasła, ustawienie UserJS, kradzież autouzupełnianego hasła lub wyświetlenie strony phishingowej. Jeśli ofiarą jest administrator, atakujący może wykonywać działania administracyjne. Problem naprawiono w wersji 1.27.0.

go-f3 to implementacja Fast Finality dla Filecoin (F3) w języku Golang. W wersjach 0.8.8 i starszych mechanizm buforowania weryfikacji uzasadnień nie uwzględnia prawidłowo kontekstu wiadomości, co pozwala atakującemu obejść weryfikację uzasadnienia poprzez ponowne użycie zbuforowanego uzasadnienia w nieprawidłowym kontekście.

Wtyczka mkdocs-include-markdown-plugin do Mkdocs w wersjach 7.1.7 i starszych zawiera podatność polegającą na tym, że niezwalidowane dane wejściowe mogą kolidować z placeholderami substytucji. Problem został naprawiony w wersji 7.1.8.

Wiele podatności typu reflected cross-site scripting (XSS) w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez parametr `redirect` w modułach Announcements i Alerts.

Podatność typu cross-site scripting (XSS) w szablonie treści webowej w Liferay Portal i Liferay DXP pozwala zdalnym uwierzytelnionym użytkownikom na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polu tekstowym Name struktury treści webowej.

FreshRSS w wersjach 1.26.3 i poniżej zawiera podatność, w której spreparowana strona może nakłonić użytkownika do wykonania dowolnego kodu JS lub promowania użytkownika w FreshRSS poprzez zasłanianie elementów interfejsu w iframe'ach. Jeśli osadzenie uwierzytelnionego iframe'a jest możliwe, może to prowadzić do eskalacji uprawnień poprzez zasłonięcie przycisku promowania użytkownika w panelu administracyjnym lub XSS poprzez nakłonienie użytkownika do przeciągnięcia treści do pola tekstowego UserJS. Poprawiono w wersji 1.27.0.

Wiele podatności typu cross-site scripting (XSS) w widżecie Calendar podczas zapraszania użytkowników do wydarzenia w Liferay Portal i Liferay DXP pozwala zdalnym atakującym na wstrzyknięcie dowolnego skryptu lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska użytkownika.

Podatność cross-site scripting (XSS) w widgecie Calendar w Liferay Portal 7.4.3.35–7.4.3.110 oraz Liferay DXP (2023.Q4.0–2023.Q4.4, 2023.Q3.1–2023.Q3.6, 7.4 update 35–92, 7.3 update 25–36). Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polu tekstowym nazwy kalendarza.

W Liferay Portal i Liferay DXP występuje podatność typu reflected XSS na stronie konfiguracji strony. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez parametr com_liferay_layout_admin_web_portlet_GroupPagesPortlet_backURLTitle.

Wiele podatności typu stored cross-site scripting (XSS) w selektorze powiązanych zasobów w Liferay Portal 7.4.3.50–7.4.3.111 oraz Liferay DXP (2023.Q4.0–2023.Q4.4, 2023.Q3.1–2023.Q3.7, 7.4 update 50–92). Uwierzytelniony zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML poprzez spreparowany ładunek w polach imienia, drugiego imienia lub nazwiska autora zasobu.