Katalog podatności CVE

Wtyczka Piraeus Bank WooCommerce Payment Gateway w wersji 3.2.0 ma podatność na złamanie uwierzytelniania bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka Booking calendar, Appointment Booking System w wersji 3.2.36 i starszych ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do obiektów (np. rezerwacji) bez autoryzacji.

Wtyczka CTX Feed w wersji 6.6.47 i starszych ma podatność na dowolne pobieranie plików przez użytkownika z rolą Shop manager. Oznacza to, że menedżer sklepu może pobierać dowolne pliki z serwera, do których nie powinien mieć dostępu.

Wtyczka Contact Form by Supsystic w wersji starszej niż 1.10.0 ma podatność na obejście zabezpieczeń bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może ominąć mechanizmy ochrony i uzyskać nieautoryzowany dostęp.

Podatność na atak XSS (Cross Site Scripting) wtyczki WP Cookie Notice dla GDPR, CCPA i ePrivacy Consent w wersjach do 4.3.9. Atak wymaga uprawnień subskrybenta.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.

Copyparty to przenośny serwer plików. Przed wersją 1.20.17 wolumeny copyparty z flagami katalogów dk lub dks w połączeniu z flagami plików fk lub fka mogą zamienić prawidłowy klucz pliku na klucz katalogu, przyznając dostęp do odczytu do zawierającego folderu. Ta podatność była osiągalna tylko wtedy, gdy oba typy kluczy (klucze plików i klucze katalogów) były ręcznie włączone w flagach wolumenu jednocześnie. Problem został naprawiony w wersji 1.20.17.

Podatność typu Privilege Escalation (eskalacja uprawnień) w wtyczce MasterStudy LMS w wersjach do 3.7.41. Atak wymaga uprawnień subskrybenta.

Podatność na atak XSS (Cross Site Scripting) w wtyczce GeoDirectory w wersjach do 2.8.172. Atak wymaga uprawnień kontrybutora.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce Appointment Hour Booking w wersjach do 1.5.91. Atak nie wymaga uwierzytelnienia.

Brak autoryzacji w MultiVendorX dc-woocommerce-multi-vendor pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 5.0.20 włącznie.

Podatność na atak XSS (Cross Site Scripting) w wtyczce WP Tab Widget w wersjach do 1.2.11. Atak wymaga uprawnień kontrybutora.

Podatność Cross Site Scripting (XSS) w bloku Spisu Treści (Table of Contents) w wersjach do 1.5.0. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w efekcie maszynowego pisania (Typing Effect) w wersjach do 1.3.7. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w skrócie Wufoo (Wufoo Shortcode) w wersjach do 1.55. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w Video Conferencing with Zoom w wersjach do 4.6.8. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w Login With Ajax w wersjach do 4.5.1. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w WPZOOM Forms – Contact Form Plugin for Gutenberg w wersjach do 2.0.4. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.

Podatność Cross Site Scripting (XSS) w Frontend Admin by DynamiApps w wersjach do 3.29.10. Użytkownik z rolą Współautor może wstrzyknąć złośliwy skrypt.