Katalog podatności CVE

Wtyczka Flexible Subscriptions dla WordPressa do wersji 1.8.4 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy funkcji flexible-subscriptions.

Wtyczka JetElements For Elementor dla WordPressa do wersji 2.9.2.3 zawiera podatność na przechowywany XSS (Cross-site Scripting) w funkcji jet-elements. Podatność wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Podatność typu Stored XSS w wtyczce JetMenu firmy Crocoblock. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania stron WWW pozwala na trwałe wstrzyknięcie złośliwego skryptu.

Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Brak autoryzacji w wtyczce Products Restricted Users for WooCommerce firmy Codection. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą być wykorzystane przez nieautoryzowanych użytkowników.

Brak autoryzacji w wtyczce WP User Manager. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą być wykorzystane przez nieautoryzowanych użytkowników.

Podatność polegająca na wstawianiu wrażliwych informacji do wysyłanych danych w wtyczce Booster Elite for WooCommerce. Umożliwia odzyskanie osadzonych wrażliwych danych.

Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Banner.php. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia SQL, atak możliwy zdalnie.

Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Download.php. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, atak możliwy zdalnie.

Podatność nieprawidłowej autoryzacji w SEMCMS (do wersji 5.0) w pliku /admin/SEMCMS_User.php?Class=Deleted&CF=user. Manipulacja prowadzi do nieprawidłowej autoryzacji, atak możliwy zdalnie.

Podatność ujawnienia informacji w WMCMS 4.446.1257 w pliku /index.php. Manipulacja argumentem path/file prowadzi do ujawnienia informacji, atak możliwy zdalnie.

Podatność ujawnienia informacji w tsi-coop tsi-dpdp-cms w wersjach 0.5.0/0.5.1/0.5.2 w komponencie JSON Schema Validation. Manipulacja argumentem _func prowadzi do ujawnienia informacji, atak możliwy zdalnie.

Wtyczka Event post (do wersji 6.1.1) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.

Wtyczka VideoWhisper Site Manager for ChatGPT, Claude, Codex (do wersji 1.2.10) zawiera podatność Missing Authorization, która umożliwia wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień.

Wtyczka Paid Videochat Turnkey Site (do wersji 7.5.12) zawiera podatność typu Improper Validation of Specified Quantity in Input, która pozwala na manipulację danymi wejściowymi. Atakujący może wprowadzić nieprawidłowe wartości ilościowe, co może prowadzić do nieoczekiwanego zachowania aplikacji.

Wtyczka Event post (do wersji 6.1.1) zawiera podatność typu Authorization Bypass Through User-Controlled Key, która pozwala na obejście autoryzacji poprzez manipulację kluczem kontrolowanym przez użytkownika. Atakujący może uzyskać dostęp do zasobów lub wykonać akcje, do których nie ma uprawnień.

Wtyczka Flexible Quantity – Measurement Price Calculator for WooCommerce (do wersji 2.3.22) zawiera podatność typu Improper Validation of Specified Quantity in Input, która pozwala na manipulację danymi wejściowymi. Atakujący może wprowadzić nieprawidłowe wartości ilościowe, co może prowadzić do błędnego obliczania cen lub ilości produktów.

Wtyczka TMDS (do wersji 1.0.15) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonać akcje, do których nie powinien mieć uprawnień.

OTRS nie neutralizuje wystarczająco wartości kontrolowanych przez użytkownika, które są następnie umieszczane w eksportach CSV. Atakujący może wstrzyknąć wartości rozpoczynające się od znaków formuł arkusza kalkulacyjnego (=, +, -, @), które po otwarciu pliku CSV w arkuszu mogą zostać zinterpretowane jako formuły i wykonać niezamierzone akcje. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.

OTRS nie egzekwuje wystarczająco unikalności tożsamości użytkowników-klietnów w wielu skonfigurowanych backendach CustomerUser. Gdy skonfigurowano wiele backendów (np. baza danych i LDAP), sprawdzanie unikalności adresów e-mail odbywa się tylko w wybranym backendzie, co pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do tworzenia/modyfikacji użytkowników-klietnów utworzyć konto z adresem e-mail już istniejącym w innym backendzie. Może to prowadzić do powiązania informacji lub komunikacji e-mail z niewłaściwym użytkownikiem. Podatność dotyczy wersji 7.0.X, 8.0.X, 2023.X, 2024.X, 2025.X, 2026.X przed 2026.7.X oraz OTRS Community Edition 6.x i wcześniejszych.