Katalog podatności CVE

Joomla! Core w wersjach 1.0.0-5.4.7 oraz 6.0.0-6.1.2 ma podatność na nieograniczone przesyłanie plików SHTML. Domyślna lista niebezpiecznych plików nie zawierała plików SHTML, co na serwerach wykonujących te pliki może prowadzić do wykonania kodu.

MyBB przed wersją 1.8.40 zawiera podatność w module Contact, która nie waliduje poprawnie adresu URL przekierowania, co prowadzi do otwartego przekierowania i wstrzyknięcia kodu JavaScript.

MyBB od wersji 1.8.13 do 1.8.40 zawiera podatność w module instalatora, która nieprawidłowo escapuje wartości konfiguracyjne bazy danych, co prowadzi do wstrzyknięcia kodu PHP i zdalnego wykonania kodu.

AAP Controller's HashiCorp Vault credential plugin zawiera podatność, która wysyła token konta serwisowego Kubernetes do adresu URL kontrolowanego przez atakującego podczas testowania poświadczeń Vault z uwierzytelnianiem kubernetes_role.

TRENDnet TEW-WLC100 w wersji 1v2.07b01 zawiera podatność na przepełnienie bufora w funkcji FUN_0040da4c w pliku /usr/nginx/sbin/nginx, w komponencie HTTP Header Handler. Manipulacja argumentem Server może prowadzić do zdalnego ataku.

Nieuwierzytelniona podatność SQL Injection w wtyczce Readabler w wersjach przed 2.0.18. Atakujący bez logowania może wstrzykiwać zapytania SQL.

Nieuwierzytelniona podatność Arbitrary File Upload w wtyczce Masteriyo - LMS w wersjach do 2.3.2. Atakujący bez logowania może przesłać dowolne pliki na serwer.

Nieuwierzytelniona podatność na deserializację niezaufanych danych w wtyczce Youzify w wersjach do 1.3.7. Atakujący bez logowania może deserializować dane, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniona podatność Broken Authentication w wtyczce Popup by Supsystic w wersjach do 1.13.0. Atakujący bez logowania może obejść mechanizmy uwierzytelniania.

Nieuwierzytelniona podatność PHP Object Injection w wtyczce Popup by Supsystic w wersjach do 1.13.0. Atakujący bez logowania może wstrzykiwać obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniona podatność PHP Object Injection w wtyczce Ultimate Maps by Supsystic w wersjach przed 1.5.0. Atakujący bez logowania może wstrzykiwać obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniona podatność PHP Object Injection w wtyczce Easy Google Maps w wersjach do 1.13.0. Atakujący bez logowania może wstrzykiwać obiekty PHP, co może prowadzić do zdalnego wykonania kodu.

Nieuwierzytelniona podatność SQL Injection w wtyczce JetAppointment w wersjach do 2.5.2. Atakujący bez logowania może wstrzykiwać zapytania SQL.

Nieuwierzytelniona podatność SQL Injection w wtyczce Affiliates Manager w wersjach do 2.9.53. Atakujący bez logowania może wstrzykiwać zapytania SQL.

Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod (RCE) w wtyczce WP Compress w wersjach starszych niż 7.20.01.

Nieuwierzytelniony atakujący może wstrzyknąć obiekty PHP (PHP Object Injection) w wtyczce RegistrationMagic w wersjach do 6.0.9.7.

Nieuwierzytelniony atakujący może wykorzystać podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Modern Events Calendar w wersjach starszych niż 7.35.0.

Nieuwierzytelniony atakujący może wykorzystać podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce Sticky Chat Widget w wersjach do 1.4.2.

Wtyczka GP Premium firmy EDGE22 Studios Ltd. zawiera podatność na nieograniczone przesyłanie plików niebezpiecznego typu, co umożliwia zdalne włączenie kodu. Problem dotyczy wersji od n/a do 2.5.5.

Seroval przed wersją 1.5.3 umożliwia atakującemu kontrolowaną deserializację JSON, która może prowadzić do niepożądanych efektów ubocznych, a w połączeniu z frameworkami rejestrującymi wywoływalne wrappery – do niezamierzonego wykonania kodu po stronie serwera lub zdalnego wykonania kodu.