Katalog podatności CVE

Podatność typu Insecure Direct Object References (IDOR) w wtyczce GravityView w wersjach do 3.0.0 umożliwia nieuwierzytelnionemu atakującemu dostęp do prywatnych danych. Luka wynika z braku weryfikacji uprawnień przy odwołaniach do obiektów.

Podatność wtyczki Bopo – WooCommerce Product Bundle Builder w wersji 1.1.6 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Luka wynika z braku odpowiedniego zabezpieczenia endpointów API lub mechanizmów ekspozycji danych.

Wtyczka WPComplete w wersjach do 2.9.5.5 zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla wyższych ról.

Wtyczka Booking and Rental Manager w wersji 2.7.1 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji zarządzania rezerwacjami i wynajmem.

Wtyczka Gmail SMTP w wersji 1.2.3.19 i starszych zawiera podatność na nieuwierzytelnione Cross-Site Request Forgery (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Podatność typu Cross Site Scripting (XSS) w komponencie Hester Core w wersjach do 1.1.8 włącznie. Umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, co może prowadzić do kradzieży sesji lub przekierowania użytkownika.

Wtyczka Affiliates Manager w wersji 2.9.49 i starszych zawiera podatność związaną z nieskuteczną kontrolą dostępu dla afiliantów. Umożliwia to nieautoryzowanym użytkownikom wykonywanie operacji, do których nie powinni mieć uprawnień.

Podatność IDOR (Insecure Direct Object Reference) w wersjach JS Help Desk do 3.1.0 umożliwia nieuwierzytelnionemu atakującemu bezpośredni dostęp do obiektów, takich jak zgłoszenia czy dane klientów, poprzez manipulację parametrami w żądaniach.

Podatność na atak typu Cross Site Scripting (XSS) w wtyczce Ghost Kit w wersji 3.6.0 i niższych. Luka umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony przez funkcjonalność dla współtwórców.

Podatność typu Cross Site Scripting (XSS) w wtyczce Magazine Blocks w wersjach do 1.8.3 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript. Luka występuje w kontekście wkładu (contributor), co oznacza, że może być wykorzystana przez użytkowników z niskimi uprawnieniami.

Wtyczka Shoppable Images Lite w wersji 1.3 i starszych zawiera podatność polegającą na nieprawidłowej kontroli dostępu dla subskrybentów. Użytkownicy z rolą subskrybenta mogą uzyskać nieautoryzowany dostęp do funkcji, które powinny być dla nich zablokowane.

Wtyczka Nelio Content dla WordPressa w wersji 4.3.4 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez współautorów. Osoba z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji lub danych, do których nie powinna mieć uprawnień.

Podatność typu Insecure Direct Object References (IDOR) w wtyczce Majestic Support w wersjach do 1.1.7 umożliwia subskrybentom nieautoryzowany dostęp do zasobów innych użytkowników poprzez manipulację identyfikatorami obiektów.

W wersjach Real Estate 7 do 3.5.9 włącznie występuje luka umożliwiająca atak CSRF bez uwierzytelnienia. Atakujący może nakłonić zalogowanego administratora do wykonania niezamierzonych działań w aplikacji.

Wtyczka MasterStudy LMS w wersjach do 3.7.30 zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji przeznaczonych dla administratorów.

Podatność Cross Site Scripting (XSS) w wtyczce Fluent Booking w wersjach do 2.1.0 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript przez nieprawidłowo filtrowane dane wejściowe od współpracowników.

Nieuwierzytelniona podatność na fałszowanie żądania międzywitrynowego (CSRF) w wtyczce Abandoned Cart Lite for WooCommerce w wersjach do 6.8.0 włącznie. Atakujący może nakłonić administratora do wykonania niezamierzonych działań bez jego wiedzy.

Wtyczka FunnelKit Payment Gateway for Stripe WooCommerce w wersji 1.14.0.3 i starszych zawiera podatność na nieuwierzytelnione fałszerstwo żądania międzywitrynowego (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora sklepu WooCommerce.

Wtyczka PPWP w wersji 1.9.19 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w funkcjonalności dla współtwórców. Umożliwia to nieautoryzowany dostęp do prywatnych danych.

Wtyczka WCBoost – Products Compare w wersji 1.1.0 i niższych umożliwia nieuwierzytelnionym użytkownikom dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniego zabezpieczenia endpointów API lub stron wyświetlających poufne informacje.