Katalog podatności CVE

Wtyczka Gutenberg Blocks by Kadence Blocks (Liquid Web / StellarWP) do wersji 3.8.0.2 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka JetElements For Elementor (Crocoblock) do wersji 2.9.2.6 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka Kit (dawniej ConvertKit) do wersji 3.4.7 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WPFunnels do wersji 3.13.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Umożliwia ona osobie atakującej wymuszenie na zalogowanym użytkowniku wykonania niechcianych działań.

Wtyczka User Registration (ThemeGrill) do wersji 5.3.0 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WP ERP (weDevs) do wersji 1.17.10 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka Flash & HTML5 Video (bPlugins) do wersji 2.14.0 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka MasterStudy LMS do WordPressa (do wersji 3.7.55) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonywać akcje zastrzeżone dla uprzywilejowanych ról.

Wtyczka WPFunnels do WordPressa (do wersji 3.13.5) zawiera lukę braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć praw.

Wtyczka WPFunnels do WordPressa (do wersji 3.13.5) jest podatna na lukę braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka umożliwia nieautoryzowanym użytkownikom wykonanie akcji zastrzeżonych dla uprawnionych ról.

Wtyczka Flexible Quantity – Measurement Price Calculator for WooCommerce (do wersji 2.3.24) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może wykonywać akcje wymagające wyższych uprawnień.

Wtyczka Happy Addons for Elementor (do wersji 3.50.1) jest podatna na przechowywany Cross-site Scripting (Stored XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka StreamCast (do wersji 2.4.6) zawiera lukę przechowywanego Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod JavaScript może zostać zapisany i wykonany w przeglądarce ofiary.

Wtyczka WP User Manager (do wersji 2.9.26) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonywać operacje wymagające wyższych uprawnień.

Wtyczka Webba Booking (do wersji 6.5.4) jest podatna na lukę braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może wykonywać akcje zastrzeżone dla uprawnionych ról.

Wtyczka SureForms (do wersji 2.12.9) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może uzyskać dostęp do funkcji lub danych wymagających wyższych uprawnień.

Nieprawidłowa autoryzacja (CWE-863) w Elastic Cloud Enterprise (ECE) pozwala uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu zmienić ustawienie konta o zasięgu całej instalacji, które powinno być modyfikowalne wyłącznie przez administratorów platformy.

Wstawienie poufnych informacji do zewnętrznie dostępnego pliku lub katalogu (CWE-538) w Elastic Cloud Enterprise (ECE) może prowadzić do ujawnienia poświadczeń. ECE przechowuje informacje o kontenerach usług platformy w lokalizacji czytelnej dla mniej uprzywilejowanych komponentów, a dane te zawierają sekrety z konfiguracji kontenerów, w tym tokeny ról.

Wstawienie poufnych informacji do zewnętrznie dostępnego pliku lub katalogu (CWE-538) w Elastic Cloud Enterprise (ECE) może prowadzić do eskalacji uprawnień. Po wykonaniu procedury rotacji certyfikatów ECE zachowuje dane zawierające poświadczenia platformy i prywatne klucze urzędu certyfikacji, które są czytelne dla mniej uprzywilejowanych komponentów.