Katalog podatności CVE

Wtyczka ListingPro do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.8 włącznie.

Wtyczka WPFront User Role Editor do WordPressa zawiera podatność typu Stored Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 4.2.3 włącznie.

Wtyczka Woostify do WordPressa w wersjach do 2.4.2 włącznie jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.

Podatność XSS w motywie XStore dla WordPressa umożliwia wstrzyknięcie kodu HTML/JavaScript do strony. Dotyczy wersji do 9.6 (wyłącznie).

Wtyczka Embed Any Document zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 2.7.7 włącznie.

Brak autoryzacji we wtyczce Theme My Login od Jeff Farthing pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji Theme My Login od n/a do 7.1.12 włącznie.

Wtyczka TheGem do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 5.10.5 włącznie.

Wtyczka TheGem (Elementor) do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 5.10.5 włącznie.

Wtyczka Stackable do WordPressa posiada podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 3.18.1 włącznie.

Wtyczka Stackable (stackable-ultimate-gutenberg-blocks) do WordPressa w wersjach do 3.18.1 włącznie zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Podatność CSRF w wtyczce Download Manager. Umożliwia atakującemu wykonanie nieautoryzowanych żądań w imieniu administratora.

Podatność wtyczki Download Manager dla WordPressa (wersje do 3.3.25) umożliwia ujawnienie wrażliwych informacji systemowych nieautoryzowanym podmiotom. Atakujący może uzyskać dostęp do osadzonych danych wrażliwych.

Wtyczka wp-mpdf do WordPressa zawiera podatność typu Stored Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 3.9.1 włącznie.

Wtyczka Wide Banner do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.0.4 włącznie.

Wtyczka Quantities and Units for WooCommerce zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 1.0.13 włącznie.

Podatność CSRF w importerze demo Di Themes. Atakujący może wykorzystać lukę do wykonania nieautoryzowanych importów lub zmian.

Wtyczka Acclectic Media Organizer do WordPressa posiada podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.4 włącznie.

Wtyczka Authorsy do wersji 1.0.5 zawiera podatność na ataki typu Stored XSS. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej.

W wielu produktach WSO2 występuje podatność polegająca na dowolnym przesyłaniu plików z powodu niewłaściwej walidacji nazw plików dostarczanych przez użytkownika w endpointcie usługi SOAP BPEL uploader. Złośliwy aktor z uprawnieniami administracyjnymi może przesłać dowolne pliki do lokalizacji kontrolowanej przez użytkownika na serwerze.

Apache Airflow 3 wprowadził model "write-only" dla wrażliwych pól połączeń, ale w wersji 3.0.3 model ten został przypadkowo naruszony. Użytkownicy z uprawnieniami tylko do odczytu mogli przeglądać wrażliwe informacje o połączeniach przez API i UI, omijając opcję AIRFLOW__CORE__HIDE_SENSITIVE_VAR_CONN_FIELDS. Problem nie dotyczy Airflow 2.x.