Katalog podatności CVE

Wtyczka Majestic Support (Ahmad Majestic) w wersjach do 1.2.1 zawiera podatność Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.

Wtyczka WordPress Sunshine Photo Cart (do wersji 3.7.5) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji przez nieuprawnione osoby.

Wtyczka WP Mailster zawiera podatność Cross-Site Scripting typu Stored wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 1.9.1.0 włącznie.

Parser org.json w com.vaadin.external.google:android-json rekurencyjnie przetwarza zagnieżdżone struktury JSON bez limitu głębokości. Głęboko zagnieżdżony dokument JSON (około 20 KB) powoduje wyrzucenie java.lang.StackOverflowError zamiast JSONException, co może przerwać wątek przetwarzający dane.

Wtyczka SureDash firmy Brainstorm Force ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.12.2 włącznie.

Wtyczka SureDash (Brainstorm Force) w wersjach do 1.12.2 zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

W module mod_qos występuje błąd obliczenia wskaźnika typu off-by-one podczas łączenia parametrów treści żądania z istniejącym zapytaniem URL. Powoduje to obcięcie ciągu zapytania podczas oceny bezpieczeństwa, podczas gdy rzeczywiste żądanie pozostaje niezmienione. Nieuwierzytelniony zdalny atakujący może wykorzystać tę podatność, wysyłając spreparowane żądanie, które ukrywa zabronione wartości przed inspekcją, omijając skonfigurowane reguły bezpieczeństwa.

W module mod_qos wykryto błąd polegający na nieprawidłowym sprawdzaniu granic podczas analizy treści odpowiedzi HTTP, co powoduje odczyt pamięci poza zaalokowanym buforem. Nieuwierzytelniony zdalny atakujący może to wykorzystać, wywołując specjalnie spreparowane odpowiedzi serwera, co powoduje awarię procesu roboczego Apache i odmowę usługi (DoS).

W mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS) poprzez utrzymywanie wielu równoczesnych połączeń o niskim natężeniu do serwera. Gdy monitorowanie szybkości połączeń jest aktywne, moduł nie weryfikuje granic tablicy podczas zapisywania adresów IP klientów, co prowadzi do przepełnienia bufora sterty i awarii procesu serwera WWW.

W module mod_qos wykryto błąd, który pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać odmowę usługi (DoS) poprzez wysłanie specjalnie spreparowanego żądania JSON przy włączonym filtrowaniu treści JSON. Z powodu nieprawidłowego zakończenia ciągu znaków podczas przetwarzania danych zakodowanych procentowo moduł odczytuje pamięć poza zaalokowanym buforem, co może spowodować awarię procesu roboczego Apache.

Wtyczka WordPress Elementor Addon Elements do wersji 1.14.4 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwe dane mogą zostać zapisane i wykonane w przeglądarce użytkownika.

Wtyczka PowerPack Addons for Elementor (powerpack-lite-for-elementor) firmy IdeaBox Creations zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.1.0.

Wtyczka WordPress Metform (do wersji 4.3.2) zawiera podatność typu Missing Authorization wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Umożliwia to wykorzystanie błędnych ustawień autoryzacji.

Wtyczka Xpro Elementor Addons (wersje do 1.7.10 włącznie) jest podatna na Cross-Site Request Forgery (CSRF). Luka pozwala na wymuszenie na uwierzytelnionym użytkowniku wykonania niepożądanych akcji.

Wtyczka eRoom (DigitalME) w wersjach do 1.7.1 zawiera podatność Missing Authorization, pozwalającą na wykorzystanie błędnie skonfigurowanych mechanizmów kontroli dostępu.

Wtyczka H5P do wersji 1.17.9 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Dane użytkownika nie są prawidłowo oczyszczane przed zapisaniem.

W wtyczce WordPress Strong Testimonials (do wersji 3.3.14) występuje brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Luka umożliwia nieuprawniony dostęp do funkcji lub danych objętych kontrolą dostępu.

Wtyczka Falcon – WordPress Optimizations & Tweaks (eLightUp) w wersjach do 2.12.0 zawiera podatność Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanej kontroli dostępu.

Wtyczka MarketKing dla WooCommerce zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.1.72 włącznie.