Katalog podatności CVE

Pretix 2025 zawiera nowy punkt końcowy API, który zamiast zwracać dane o odprawach dla konkretnego wydarzenia, zwraca dane dla wszystkich wydarzeń danego organizatora. Umożliwia to nieautoryzowanym użytkownikom dostęp do informacji o odprawach innych wydarzeń.

CoolerControl/coolercontrold przed wersją 4.0.0 ma nieprawidłową konfigurację CORS, co pozwala nieuwierzytelnionym zdalnym atakującym na odczyt danych i wysyłanie poleceń do usługi za pośrednictwem złośliwych stron internetowych.

W CoolerControl/coolercontrold przed wersją 4.0.0 istnieje niezautoryzowana funkcjonalność, która pozwala nieuwierzytelnionym atakującym na przeglądanie i modyfikowanie potencjalnie wrażliwych danych poprzez żądania HTTP.

Podatność w Dell PowerScale OneFS w wersjach 9.5.0.0-9.10.1.6 i 9.11.0.0-9.13.0.1 umożliwia nieprawidłowe przypisanie uprawnień, co może pozwolić lokalnemu atakującemu z niskimi uprawnieniami na eskalację uprawnień.

Podatność w Dell PowerScale OneFS powoduje generowanie komunikatów błędów zawierających wrażliwe informacje. Wersje od 9.5.0.0 do 9.10.1.6 oraz od 9.11.0.0 do 9.13.0.0 są dotknięte tym problemem.

Wtyczka Beaver Builder Page Builder dla WordPress do wersji 2.10.1.1 zawiera podatność na przechowywany XSS przez parametr 'settings[js]'. Uwierzytelnieni atakujący z dostępem autora mogą wstrzykiwać dowolne skrypty, które wykonują się przy odwiedzeniu strony.

Wtyczka User Registration & Membership dla WordPressa jest podatna na SQL Injection przez parametr 'membership_ids[]' w wersjach do 5.1.2 włącznie. Niedostateczne escapowanie i przygotowanie zapytania SQL pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na dołączanie dodatkowych zapytań SQL.

Wtyczka BEAR – Bulk Editor and Products Manager Professional for WooCommerce by Pluginus.Net dla WordPressa we wszystkich wersjach do 1.1.5 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji woobe_delete_tax_term(). Umożliwia to nieuwierzytelnionym atakującym usunięcie terminów taksonomii WooCommerce (kategorie, tagi itp.) za pomocą sfałszowanego żądania, pod warunkiem że nakłonią administratora witryny lub menedżera sklepu do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka BEAR – Bulk Editor and Products Manager Professional dla WordPressa do wersji 1.1.5 jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji woobe_redraw_table_row(). Niezalogowany atakujący może nakłonić administratora lub menedżera sklepu do kliknięcia w link, co pozwoli na aktualizację danych produktów WooCommerce, takich jak ceny i opisy.

Wtyczka WP Visitor Statistics (Real Time Traffic) dla WordPressa jest podatna na trwałe ataki XSS poprzez shortcode 'wsm_showDayStatsGraph' we wszystkich wersjach do 8.4 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.

Wtyczka pdfl.io dla WordPress do wersji 1.0.5 zawiera podatność na Stored XSS przez atrybut 'text' shortcode'u 'pdflio'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.

Wtyczka PrivateContent Free dla WordPressa we wszystkich wersjach do 1.2.0 włącznie posiada podatność na Stored XSS poprzez atrybut 'align' w shortcode [pc-login-form]. Atrybut nie jest odpowiednio oczyszczany ani kodowany, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym na wstrzyknięcie dowolnych skryptów.

Wtyczka Flipmart dla WordPress (wersje do 2.8) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka AnyTrack Affiliate Link Manager dla WordPressa do wersji 1.5.5 ma podatność brakującej autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji w motywie G5Plus April (g5plus-april) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 6.8 włącznie.

Wtyczka Mailercloud dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.0.7 włącznie.

Wtyczka tagDiv Composer (td-composer) dla WordPressa w wersjach do 5.4.3 włącznie zawiera podatność na podstawowy atak XSS (Basic XSS) poprzez niewłaściwą neutralizację skryptowych tagów HTML. Umożliwia to wstrzyknięcie kodu.

Wtyczka RT-Theme 18 | Extensions (rt18-extensions) dla WordPressa do wersji 2.5 włącznie umożliwia wstawianie wrażliwych danych do wysyłanych informacji. Atakujący może odczytać osadzone dane wrażliwe.

Podatność CSRF we wtyczce RT-Theme 18 | Extensions (rt18-extensions) w wersjach do 2.5 włącznie. Umożliwia atak CSRF.