Katalog podatności CVE

Wtyczka AI Translation for Polylang do wersji 1.6.2 ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może uzyskać nieautoryzowany dostęp do funkcji tłumaczenia.

Wtyczka Super Payments dla WordPressa przed wersją 1.43.1 nie weryfikuje poprawnie autentyczności przychodzących powiadomień webhook o płatnościach, ponieważ klucz podpisu jest domyślnie pusty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie podpisu i oznaczenie dowolnych zamówień WooCommerce jako opłaconych bez płatności.

Komponent OIDC relying-party w Apache CXF może przekierowywać użytkowników na adres URL kontrolowany przez atakującego po pomyślnym uwierzytelnieniu. Problem występuje, ponieważ parametry stanu kontrolowane przez atakującego są zachowywane i później używane jako cele przekierowania bez walidacji, że końcowy zdekodowany URI należy do origin RP. Zarówno bezpośrednio zakodowane, jak i podwójnie zakodowane zewnętrzne adresy URL mogą wywołać problem.

Wtyczka Ultimate Member dla WordPressa w wersjach do 2.13.1 włącznie zawiera podatność Incorrect Privilege Assignment, która umożliwia eskalację uprawnień. Problem dotyczy wszystkich wersji od n/a do 2.13.1.

Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.

Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.

Wtyczka User Registration (user-registration) od ThemeGrill zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 5.2.7 włącznie.

Wtyczka 워드프레스 결제 심플페이 (pgall-for-woocommerce) od codemstory zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 5.5.17 włącznie.

Wtyczka Deposits and Partial Payments for WooCommerce (advanced-partial-payment-or-deposit-for-woocommerce) od Magepeople inc. zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.1 włącznie.

Wtyczka JetReviews (jet-reviews) od Crocoblock zawiera podatność typu Stored Cross-site Scripting (XSS), wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 3.1.2 włącznie.

Wtyczka Classified Listing (classified-listing) od Mamunur Rashid zawiera podatność typu Stored Cross-site Scripting (XSS), wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 6.1.2 włącznie.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach starszych niż 5.34.00.16 zawiera podatność typu Incorrect Authorization. Wysoko uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać, prowadząc do eskalacji uprawnień i nieautoryzowanego dostępu.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach starszych niż 5.34.00.16 zawiera podatność typu Path Traversal (nieprawidłowe ograniczenie ścieżki do katalogu). Wysoko uprzywilejowany atakujący z dostępem lokalnym może ją wykorzystać, prowadząc do wykonania kodu i dostępu do systemu plików.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach starszych niż 5.34.00.16 zawiera podatność typu Incorrect Permission Assignment for Critical Resource. Nisko uprzywilejowany atakujący z dostępem lokalnym może ją wykorzystać, prowadząc do ujawnienia informacji, obejścia mechanizmów ochrony i nieautoryzowanego dostępu.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach przed 5.34.00.16 zawiera podatność typu Server-Side Request Forgery (SSRF). Uprzywilejowany atakujący z dostępem zdalnym może ją wykorzystać, prowadząc do ujawnienia informacji i wykonania żądań po stronie serwera.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach przed 5.34.00.16 zawiera podatność typu Authorization Bypass Through User-Controlled Key. Atakujący z niskimi uprawnieniami i dostępem zdalnym może ją wykorzystać do podniesienia uprawnień.

Wtyczka JetBlocks For Elementor (Crocoblock) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 1.5.2.1.

Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie weryfikuje hosta adresu URL przed jego pobraniem. Umożliwia to użytkownikom z uprawnieniami edytora i wyższymi wysyłanie żądań do wewnętrznych usług, które normalnie nie są osiągalne, oraz ustalanie na podstawie odpowiedzi, które z nich działają.

Wtyczka Kirki dla WordPressa w wersjach przed 6.3.2 nie zapobiega wykonywaniu shortcode'ów zawartych w komentarzach podczas ich renderowania oraz wyświetla komentarze niezależnie od ich statusu moderacji. Umożliwia to nieuwierzytelnionym odwiedzającym uruchamianie zarejestrowanych shortcode'ów i odczyt prywatnych pól niestandardowych przeglądanej strony.

Dell Secure Connect Gateway (SCG) Policy Manager w wersjach przed 5.34.00.16 zawiera podatność typu Not Failing Securely ('Failing Open'). Atakujący z niskimi uprawnieniami i dostępem zdalnym może ją wykorzystać do obejścia mechanizmu ochrony.