Katalog podatności CVE

Wtyczka MapSVG zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka PowerPack Addons for Elementor zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 3.1.0.

Wtyczka MapSVG zawiera podatność braku autoryzacji, która pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka The Events Calendar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 6.18.1.

Wtyczka SmartCrawl zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.16.4.

Wtyczka BookIt zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.6.0.5.

Wtyczka Passster zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.3.18.

Wtyczka WP Event Solution zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.1.26.

Erupt do wersji 2.3.0 zawiera podatność na wstrzyknięcie HQL, która pozwala uwierzytelnionym użytkownikom ominąć filtry danych ograniczone do drzewa poprzez wstrzyknięcie nieescapowanych cudzysłowów do parametru linkTreeVal w POST /erupt-api/data/table/{erupt}. Atakujący posiadający uprawnienia do zapytań na encjach z celami linkTree opartymi na kluczach tekstowych mogą dołączać zawsze prawdziwe klauzule OR lub podzapytania logiczne, aby odczytywać dane z innych zmapowanych encji.

Wtyczka WordPress Squeeze przed wersją 1.8.1 nie wykonuje sprawdzenia uprawnień w jednej ze swoich akcji AJAX, co pozwala uwierzytelnionym użytkownikom z rolą tak niską jak Subscriber przywrócić dowolny załącznik do jego kopii zapasowej oraz trwale usunąć tę kopię zapasową i wygenerowane przez wtyczkę pochodne WebP, niezależnie od własności.

Wtyczka WordPress MAIO przed wersją 7.3.22 nieprawidłowo ogranicza dostęp do swoich danych analitycznych, traktując wartość poświadczenia dostarczoną dosłownie w swoim publicznym kodzie źródłowym jako prawidłowy klucz API. Pozwala to nieuwierzytelnionym atakującym na pobranie przechowywanego dziennika analityki crawlowania, w tym adresu IP, agenta użytkownika i referera każdego zarejestrowanego odwiedzającego.

W ikus060 rdiffweb 7.1.1 występuje nieprawidłowe sprawdzanie zawierania ścieżek, które pozwala uwierzytelnionemu użytkownikowi na wykonywanie operacji przeglądania, przywracania, historii i usuwania na ścieżce poza repozytorium, za pomocą sekwencji przejścia zakodowanej procentowo (%2e%2e) w ścieżce żądania. Problem wynika z tego, że sprawdzanie zawierania używa porównania prefiksu ciągu (startswith) zamiast sprawdzania granicy ścieżki systemu plików. Cel musi być ścieżką sąsiednią, której nazwa zaczyna się od ścieżki repozytorium, a użytkownik musi mieć do niej uprawnienia.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.191 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'post_content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to posiadania opublikowanego wpisu, ale edycje już opublikowanego wpisu omijają ponowną moderację i pozostają aktywne natychmiast.

Wtyczka Events Made Easy dla WordPressa (wersje do 3.2.22 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'event[location_name]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy administrator witryny włączy zarówno funkcję zgłaszania wydarzeń przez gości (eme_fs[guest_submit]), jak i wymuszone tworzenie lokalizacji (eme_fs[force_location_creation]), które domyślnie są wyłączone.

NordVPN dla Windows pozwala lokalnym atakującym na zatrzymywanie niechronionych usług systemowych Windows i zmianę ich typu uruchamiania na Ręczny poprzez nazwane potoki. Aplikacja NordVPN w trybie użytkownika pozwala atakującemu o niskich uprawnieniach na działanie jako zaufany proces i połączenie z nazwanym potokiem "\\.\pipe\nord-security\v1\NordVpnService\Server". Atakujący może następnie wywołać metody "ISettingsGrpc.StopService" i "ISettingsGrpc.ChangeServiceStartType" z dowolną nazwą usługi, co prowadzi do odmowy usługi krytycznych usług systemowych. Usługi chronione przez Windows (procesy PPL, Windows Tamper Protection), takie jak Windows Defender, nie mogą być zatrzymane ani rekonfigurowane. Problem został naprawiony w wersji 8.12.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.1.0 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr display_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga istnienia rekordu zgody prawnej dla konta atakującego, co powoduje pojawienie się przycisku View Logs w kolumnie Consent Logs w wp-admin/users.php.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność związana z aktywnym kodem debugowania, która pozwala na wykorzystanie interfejsów nieprodukcyjnych. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność polegająca na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Wtyczka Name Directory dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'dir' shortcode'u we wszystkich wersjach do 1.34.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka WP User Avatar / ProfilePress dla WordPressa jest podatna na dowolne wykonanie shortcode'ów w wersjach do 4.17.5 włącznie. Funkcja get_user_profile_structure() składa bufor profilu front-end, w tym surowe fragmenty komentarzy, i przekazuje cały bufor do do_shortcode() po jedynie wąskiej neutralizacji, co pozwala uwierzytelnionemu atakującemu z uprawnieniami subskrybenta wstrzyknąć dowolne shortcode'y z atakującymi atrybutami poprzez komentarz.