Katalog podatności CVE

Wtyczka WordPress WP Sessions Time Monitoring Full Automatic jest podatna na trwałe skryptowanie krzyżowe (Stored XSS) poprzez parametr 'action' (a także function, plugin, post_type, post_status, ids, loggedout oraz POST post_title) we wszystkich wersjach do 1.1.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W spice-server wykryto błąd w ścieżce przywracania słownika kodera GLZ, gdzie rozmiar alokacji typu size_t jest obcinany do int przy wywołaniu funkcji zwrotnej malloc. Uwierzytelniony złośliwy klient SPICE podczas migracji maszyny wirtualnej na żywo może wywołać ogromne przepełnienie bufora sterty, wysyłając spreparowaną wartość max_encoders w danych migracji.

W Rdiffweb występuje niewłaściwe zarządzanie uprawnieniami w punkcie końcowym API zarządzania użytkownikami (/api/users/{username_or_id}). Uwierzytelnieni użytkownicy mogą podnieść swoje uprawnienia do administratora, modyfikując parametr roli w żądaniu POST.

Wtyczka GoSMTP Pro dla WordPressa jest podatna na przechowywane Cross-Site Scripting poprzez treść komentarza w treści dziennika e-mail we wszystkich wersjach do 1.2.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W Checkmk w wersjach <2.5.0p15, <2.4.0p38, <2.3.0p51 oraz 2.2.0 (EOL) występuje niewłaściwa walidacja parametru reset_url w wyszukiwaniu w Setup. Umożliwia to atakującemu wykonanie dowolnego skryptu w sesji uwierzytelnionego użytkownika z dostępem do Setup lub przekierowanie go na dowolną zewnętrzną stronę poprzez nakłonienie do otwarcia spreparowanego adresu URL i kliknięcia przycisku Reset lub wysłania pustego wyszukiwania.

Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'src_by' we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym lub uwierzytelnionym użytkownikom z dowolną rolą POS dołączenie dodatkowych zapytań SQL w celu wydobycia poufnych informacji z bazy danych.

W produkcie Ikas E-Commerce Infrastructure firmy IKAS Technology Inc. występuje podatność polegająca na rozbieżności w odpowiedziach serwera, co umożliwia fingerprinting kont. Problem dotyczy wersji do 2026-07-13 włącznie.

Wtyczka DoubleScale | All-in-One CRM dla WordPressa w wersjach do 1.5.1 włącznie jest podatna na dowolne przesyłanie plików poprzez funkcję store_upload. Błąd wynika z fail-open listy dozwolonych rozszerzeń w extension_is_allowed(), która zwraca true dla nierozpoznanych rozszerzeń takich jak .php, w połączeniu z wykrywaniem MIME tylko po magicznych bajtach i brakiem sprawdzania uprawnień poza is_user_logged_in().

Wtyczka SureCart dla WordPressa w wersjach do 4.9.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W funkcji eksportu wykresu sprzedaży biletów do PDF w Wegow występuje podatność Server-Side Request Forgery (SSRF). Uwierzytelniony użytkownik z kontem promotora może manipulować parametrem <svg> w żądaniu POST, co powoduje, że usługa export.highcharts.com wysyła żądania HTTP do zasobów kontrolowanych przez atakującego i osadza ich odpowiedzi w wygenerowanym pliku PDF.

Wtyczka User Registration PRO dla WordPressa w wersjach do 6.2.9 włącznie jest podatna na przechowywany XSS poprzez nagłówek HTTP Referer z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Vulnity Security dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na obejście uwierzytelniania z powodu niewystarczającej ochrony pliku poświadczeń delegowanego logowania na instalacjach Nginx. Wygenerowany fragment konfiguracji serwera chroni niewłaściwą ścieżkę katalogu, co umożliwia nieuwierzytelnionym atakującym pobranie przechowywanych poświadczeń, sfałszowanie podpisanych żądań REST API i zalogowanie się jako administrator.

W Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie jest weryfikowana integralność parametru SAML RelayState POST. Umożliwia to uwierzytelnionemu użytkownikowi SAML dołączenie do dowolnego zespołu, w tym zespołów tylko na zaproszenie, poprzez sfałszowanie pól team_id lub invite_id w RelayState.

Wtyczka WPConsent dla WordPressa w wersjach do 1.1.9 włącznie jest podatna na przechowywany XSS poprzez treść komentarza z wykorzystaniem parsera Simple HTML DOM i przywracania klucza szumu (mXSS). Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, co umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów.

Wtyczka Gravity Forms firmy Rocketgenius, Inc. jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji przed 3.1.1.

Wtyczka Houzez firmy Houzez.co w wersjach do 4.4.0 włącznie jest podatna na odbity XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarce ofiary.

Wtyczka YaySMTP dla WordPressa (wersje do 2.7.7 włącznie) jest podatna na dowolne przesyłanie plików przez funkcję putFile. Brak walidacji typu pliku pozwala uwierzytelnionemu użytkownikowi z rolą subskrybenta przesłać plik wykonywalny, co prowadzi do zdalnego wykonania kodu (RCE). Zabezpieczenie .htaccess jest ignorowane przez nginx i Apache z AllowOverride None.

Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.3.02.002 włącznie) jest podatna na wstrzyknięcie poleceń przez parametr 'value' w akcji AJAX 'update-photo'. Brak escapowania powłoki w funkcji wppa_image_magick_a() pozwala uwierzytelnionemu użytkownikowi z uprawnieniem wppa_upload na wykonanie dowolnych poleceń systemowych jako użytkownik serwera WWW. Wymagane jest włączone ImageMagick.

Wtyczka CP Multi View Events Calendar dla WordPressa (wersje do 1.4.42 włącznie) jest podatna na przechowywany XSS przez parametr 'CalendarTitle'. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Wymaga włączonej opcji edycji w frontendzie.

Wtyczka WordPress OTP Login & Register Woocommerce w wersji przed 2.7.3 nie ogranicza odpowiednio liczby prób weryfikacji jednorazowego hasła, ponieważ limit prób jest śledzony na podstawie wartości dostarczanej przez klienta, którą można dowolnie zmieniać. Umożliwia to nieuwierzytelnionemu atakującemu obejście limitu i brute-force krótkiego numerycznego kodu logowania w celu przejęcia konta bez znajomości hasła.