Katalog podatności CVE

Podatność polegająca na nieprawidłowej konfiguracji zabezpieczeń w HCL BigFix Service Management. Uwierzytelniony atakujący może wykorzystać nieprawidłowe mechanizmy kontroli dostępu, umożliwiające nieautoryzowany podgląd ograniczonych danych między dzierżawcami (tenant boundaries).

Podatność typu path traversal w komponencie ASReportService w HCLSoftware AppScan 360°. Nieprawidłowe obsługiwanie ścieżek plików pozwala uwierzytelnionemu atakującemu na odczyt lub zapis plików poza zamierzonym katalogiem, co może umożliwić inspekcję struktury systemu plików lub nieautoryzowaną modyfikację plików w zakresie katalogu aplikacji.

Podatność w API Auth w Synology DiskStation Manager (DSM) wynika z nieprawidłowego kodowania lub escapowania danych wyjściowych. Wersje przed 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075 pozwalają zdalnym atakującym uzyskać informacje niebędące danymi wrażliwymi.

Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania stron) w API Theme w Synology DiskStation Manager (DSM) przed wersjami 7.2.1-69057-12, 7.2.2-72806-9, 7.3.2-86009-4 i 7.4-90075. Uwierzytelnieni zdalni użytkownicy z uprawnieniami administratora mogą odczytywać lub zapisywać ograniczone pliki.

Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na trwałe Cross-Site Scripting we wszystkich wersjach do 12.0.6 włącznie, poprzez pola Assignment Engine. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w polach Expressions, URLs i Advanced assignment data.

Wada w komponencie netty-handler-ssl-ocsp biblioteki Netty. Zdalny atakujący może dostarczyć odpowiedź OCSP bez opcjonalnego pola nextUpdate, co powoduje ciche pominięcie walidacji OCSP i kontynuowanie pracy z niezweryfikowanym certyfikatem.

Wtyczka Strong Testimonials dla WordPress jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'lightbox_class' we wszystkich wersjach do 3.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelnieni atakujący z uprawnieniami współpracownika mogą wstrzykiwać skrypty wykonujące się przy dostępie do strony.

Wtyczka ShopLentor – All-in-One WooCommerce Growth & Store Enhancement Plugin dla WordPress jest podatna na odbite Cross-Site Scripting poprzez nazwę parametru query-string we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty, jeśli nakłonią użytkownika do kliknięcia linku.

Wtyczka Qi Addons For Elementor dla WordPress jest podatna na odbite Cross-Site Scripting poprzez parametr 's' we wszystkich wersjach do 1.11 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.

Wtyczka Newsletter – Send awesome emails from WordPress dla WordPress jest podatna na odbite Cross-Site Scripting poprzez parametr 'nn' we wszystkich wersjach do 9.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty, jeśli nakłonią użytkownika do kliknięcia linku.

Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPress jest podatna na czasową SQL Injection poprzez atrybut shortcode 'album_id' we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z uprawnieniami autora mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.

Wtyczka NEX-Forms – Ultimate Forms Plugin dla WordPress jest podatna na ogólną SQL Injection poprzez parametr 'additional_params' we wszystkich wersjach do 9.3.0 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z niestandardowymi uprawnieniami mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.

Wtyczka WP Inventory Manager dla WordPressa jest podatna na iniekcję SQL przez atrybut 'where' shortcode'u [wpinventory] w wersjach do 2.5.1 włącznie. Dzieje się tak z powodu niewystarczającego escapowania parametru i braku przygotowania zapytania SQL w funkcji WPIMItem::get_all(). Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą dołączać dodatkowe zapytania SQL, co pozwala na wyciągnięcie wrażliwych informacji z bazy danych.

Wtyczka VK All in One Expansion Unit dla WordPressa jest podatna na przechowywany XSS przez meta pole 'vkExUnit_cta_img_position' we wszystkich wersjach do 9.118.0 włącznie. Powodem jest niewystarczająca sanityzacja wejścia i brak escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Store Exporter – Export WooCommerce Products, Orders, Subscriptions, Customers dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 2.8.0 włącznie przez parametr 'filename'. Uwierzytelnieni atakujący z dostępem na poziomie shop manager i wyższym mogą odczytywać zawartość dowolnych plików na serwerze, co może ujawnić wrażliwe informacje.

Wtyczka FileBird – WordPress Media Library Folders & File Manager dla WordPressa jest podatna na przechowywany XSS przez tekst alternatywny obrazów we wszystkich wersjach do 6.5.6 włącznie. Powodem jest niewystarczająca sanityzacja wejścia i brak escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Kubio AI Page Builder dla WordPressa jest podatna na przechowywany XSS przez blok treści 'kubio/copyright' we wszystkich wersjach do 2.8.4 włącznie. Powodem jest niewystarczająca sanityzacja wejścia i brak escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Obejście filtrów kses i wp_kses_post() następuje przez zakodowane encje, które są dekodowane do żywego HTML.

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.3 włącznie przez funkcję LatePointAbilityDeleteBooking::execute z powodu braku walidacji kontrolowanego przez użytkownika klucza. Atakujący z dostępem na poziomie LatePoint Agent i wyższym mogą odczytywać rezerwacje i dane osobowe klientów (imię, nazwisko, email, telefon, notatki) przypisane do innych agentów oraz usuwać dowolne rezerwacje. Podatność jest wykorzystywana tylko gdy administrator włączy przełączniki Abilities API.

Wtyczka WP Easy Pay – Payment and Donation form Builder for Square dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.5.0 włącznie. Powodem jest brak prawidłowej weryfikacji uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą trwale usuwać dowolne wpisy, strony i niestandardowe typy treści (z pominięciem kosza) lub zmieniać status opublikowanych wpisów na szkic.

Strona internetowa Stowarzyszenia Adwokatów (Bar Association Website) firmy KA Informatics Technologies Ltd. Co. jest podatna na odbity XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 18092026. Producent nie odpowiedział na kontakt w sprawie ujawnienia.