Katalog podatności CVE

Nieuwierzytelniona podatność na fałszowanie żądania międzywitrynowego (CSRF) w wtyczce Abandoned Cart Lite for WooCommerce w wersjach do 6.8.0 włącznie. Atakujący może nakłonić administratora do wykonania niezamierzonych działań bez jego wiedzy.

Wtyczka FunnelKit Payment Gateway for Stripe WooCommerce w wersji 1.14.0.3 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora sklepu WooCommerce.

Wtyczka PPWP w wersji 1.9.19 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w funkcjonalności dla współtwórców. Umożliwia to nieautoryzowany dostęp do prywatnych danych.

Wtyczka WCBoost – Products Compare w wersji 1.1.0 i niższych umożliwia nieuwierzytelnionym użytkownikom dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniego zabezpieczenia endpointów API lub stron wyświetlających poufne informacje.

Wtyczka Email Marketing for WooCommerce by Omnisend w wersji 1.19.0 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Wtyczka Blocksy Companion Pro w wersji 2.1.46 i starszych zawiera podatność na nieuwierzytelnione, niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do zasobów, które powinny być chronione.

Wtyczka StatCounter w wersji 2.1.1 i starszych zawiera podatność na atak XSS (Cross Site Scripting) w funkcji Contributor. Umożliwia to atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

Podatność typu Server Side Request Forgery (SSRF) w wtyczce Kirki w wersjach do 6.0.11 umożliwia subskrybentowi wysyłanie żądań HTTP z serwera do wewnętrznych zasobów sieciowych.

Wtyczka WPCafe w wersji 3.0.14 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Osoba z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla administratorów.

Podatność na atak typu Cross Site Scripting (XSS) w wtyczce Neve PRO w wersjach do 3.1.2 włącznie. Luka umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, co może prowadzić do kradzieży sesji lub przekierowania użytkownika.

Wtyczka SeedProd Pro w wersjach starszych niż 6.19.5 zawiera podatność na atak typu Cross Site Scripting (XSS) w funkcji dla współtwórców. Umożliwia ona osobie atakującej wstrzyknięcie złośliwego kodu JavaScript do stron generowanych przez wtyczkę.

Wtyczka Featured Image dla WordPressa w wersji 2.1 i starszych zawiera podatność na atak XSS (Cross-Site Scripting) w funkcji autora. Umożliwia to wstrzyknięcie złośliwego kodu JavaScript przez nieautoryzowanego użytkownika.

Wtyczka SEOPress PRO w wersji 9.1.1 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu dla współautorów. Osoba z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji, które powinny być dla niej niedostępne.

Podatność w wtyczce GIFT4U w wersjach do 1.0.10 umożliwia nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Może to prowadzić do nieautoryzowanego dostępu do funkcji lub danych.

Wtyczka Flash & HTML5 Video w wersji 2.11.0 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca może uzyskać nieautoryzowany dostęp do funkcji lub danych bez wymaganego uwierzytelnienia.

Wtyczka Site Reviews w wersji 8.0.11 i starszych umożliwia ujawnienie wrażliwych danych subskrybenta. Podatność ta pozwala nieautoryzowanym użytkownikom na dostęp do informacji, które powinny być chronione.

Podatność wtyczki GetGenie w wersjach do 4.4.2 umożliwia ujawnienie wrażliwych danych subskrybentów. Atakujący może uzyskać dostęp do informacji, które powinny być chronione.

Podatność na atak typu Cross Site Scripting (XSS) wtyczki SureCart w wersjach do 4.2.2, umożliwiająca użytkownikowi z rolą subskrybenta wstrzyknięcie złośliwego skryptu.

Wtyczka ShortPixel Adaptive Images w wersjach do 3.11.4 zawiera podatność umożliwiającą nieuwierzytelnionemu atakującemu usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień i danych wejściowych.

Wtyczka Payment Gateway Based Fees and Discounts for WooCommerce w wersji 3.0.0 i starszych zawiera podatność na nieuwierzytelnione, niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu dostęp do wrażliwych danych lub wykonanie nieautoryzowanych operacji bez logowania.