Katalog podatności CVE

Wtyczka WordPress VOD Infomaniak do wersji 1.5.14 jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod, który zostanie zapisany i wykonany u innych użytkowników.

Wtyczka WordPress Events Manager do wersji 7.4.8 jest podatna na odbity XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co doprowadzi do wykonania złośliwego skryptu.

Wtyczka WordPress 'All-in-One Video Gallery' (wersje do 4.9.7) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.

Wtyczka WordPress Paytium do wersji 5.0.5 jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Może to pozwolić atakującemu na wykonanie nieautoryzowanych działań.

Wtyczka WordPress 'LiteSpeed Cache' (wersje do 7.9) jest podatna na wstawianie poufnych informacji do wysyłanych danych, co może pozwolić na odzyskanie osadzonych poufnych danych. Atakujący może uzyskać dostęp do informacji, które nie powinny być ujawniane.

Wtyczka WordPress BP Better Messages do wersji 3.1.3 jest podatna na DOM-based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM do wykonania złośliwego skryptu w przeglądarce ofiary.

Wtyczka WordPress W3 Total Cache do wersji 2.10.7 jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany u użytkowników odwiedzających witrynę.

Wtyczka WordPress 'We're Open!' (wersje do 2.6) jest podatna na odbity atak XSS (Reflected XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.

Wtyczka WordPress Product Filter by WBW (woo-product-filter) do wersji 3.4.6 jest podatna na ślepą iniekcję SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.

Wtyczka WordPress 'WP Event Solution' (wersje do 4.1.26) jest podatna na trwały atak XSS (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Złośliwy skrypt zapisany w bazie danych jest wykonywany u użytkowników odwiedzających stronę.

Wtyczka WordPress Newsletters (newsletters-lite) do wersji 4.18.1 jest podatna na iniekcję SQL z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wykonanie dowolnych zapytań SQL.

Wtyczka WordPress 'SureDash' (wersje do 1.12.2) ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać akcje, do których nie powinien mieć uprawnień.

W Scada-LTS 2.8.0 wykryto podatność w funkcji HttpServletRequest.getParameter w pliku AmChartValuesAPI.java komponentu AmCharts Data API. Manipulacja argumentem ids może prowadzić do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.

W InternScience InternAgent 1.5.0 zidentyfikowano słabość w funkcji train w pliku tasks/AutoChem/code/experiment.py komponentu LoRA Loading. Manipulacja argumentem base_model_name_or_path powoduje włączenie funkcjonalności z niezaufanej strefy kontroli. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.

BigFix Platform używa pakietu certyfikatów Mozilla CA (PEM). Wersje pakietu datowane przed 2026/10/20 nadal ufają certyfikatom, których klucze prywatne zostały skompromitowane. Gdy BigFix Platform weryfikuje serwery za pomocą takiego pakietu, atakujący w ścieżce może podszyć się pod zdalne serwery i zmodyfikować pobierane pliki.

Wtyczka WordPress News Kit Addons For Elementor do wersji 1.4.7 nie sprawdza uprawnień ani własności przed aktualizacją metadanych postów w jednej z akcji AJAX. Umożliwia to użytkownikom z poziomem subskrybenta i wyższym zapis dowolnych metadanych pod wybranymi przez atakującego kluczami do dowolnego posta, w tym należącego do innych użytkowników.

Wtyczka WordPress News Kit Addons For Elementor przed wersją 1.4.9 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym instalację i aktywację określonej wtyczki z repozytorium WordPress.org.

Wtyczka WordPress Front End Users do wersji 3.2.35 nie ogranicza atrybutów konta, które odwiedzający może ustawić podczas rejestracji przez formularze front-endowe. Umożliwia to nieuwierzytelnionym użytkownikom przypisanie sobie dowolnego poziomu członkostwa oraz oznaczenie własnego konta jako zatwierdzone, potwierdzone i opłacone, omijając ograniczenia treści i bramkowanie rejestracji wtyczki.

Wtyczka WordPress WPVR przed wersją 9.0.3 nieprawidłowo oczyszcza i escapuje niektóre treści hotspotów wycieczek przed zapisaniem ich i wyświetleniem na front-endzie. Może to umożliwić użytkownikom z rolą współtwórcy i wyższą przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego użytkownika przeglądającego dotkniętą wycieczkę.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.