Katalog podatności CVE

Podatność Cross Site Scripting (XSS) z uprawnieniami subskrybenta w wtyczce Accordion w wersjach 3.0.6 i starszych.

Podatność Cross Site Scripting (XSS) wtyczki FluentCommunity w wersjach do 2.7.5, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control wtyczki Internal Link Optimiser w wersjach do 5.2.7, którą można wykorzystać bez uwierzytelnienia.

Podatność Cross Site Scripting (XSS) wtyczki AfterShip Tracking w wersjach do 1.18.1, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control wtyczki AI for SEO w wersjach do 2.4.2, którą można wykorzystać bez uwierzytelnienia.

Podatność Cross Site Scripting (XSS) wtyczki Profile Extra Fields by BestWebSoft w wersjach do 1.3.4, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control wtyczki ReactPress w wersjach do 3.4.0, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control wtyczki WP Social Avatar w wersjach do 1.5, którą można wykorzystać bez uwierzytelnienia.

Podatność Sensitive Data Exposure wtyczki Payment Forms for Paystack w wersjach do 4.0.5, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control wtyczki Secure Card Gateway for ePay Paycenter (Piraeus Bank) w wersjach do 1.0.32, którą można wykorzystać bez uwierzytelnienia.

Podatność Cross Site Scripting (XSS) wtyczki AcyMailing SMTP Newsletter w wersjach do 10.11.1, wykorzystywana przez użytkownika z rolą Subscriber.

Podatność Broken Access Control w wtyczce AcyMailing SMTP Newsletter do wersji 10.11.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Podatność ujawniania wrażliwych danych klienta w WP Event Solution do wersji 4.1.18 pozwala na nieautoryzowany dostęp do danych klienta.

Podatność Broken Access Control w Service Finder Booking do wersji 6.2 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Podatność Insecure Direct Object References (IDOR) w Do Lasso do wersji 358 pozwala nieuwierzytelnionemu atakującemu na dostęp do obiektów bez autoryzacji.

Podatność Broken Access Control w Tourfic do wersji 2.23.1 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Podatność Cross Site Scripting (XSS) w Popup by Supsystic do wersji 1.11.2 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu.

HCL AION jest podatny na pośrednie wstrzyknięcie promptu, które może prowadzić do wstrzyknięcia HTML w renderowanym wyniku. Wstrzyknięty kod może być wyświetlany użytkownikom, co może powodować nieoczekiwane zachowanie lub wpływ na bezpieczeństwo w określonych warunkach.

Podatność Stored Cross-site Scripting (XSS) w komponencie zarządzania użytkownikami w maalfer Pentestify przed wersją 1.1.1 pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego JavaScript w przeglądarce innego uwierzytelnionego użytkownika poprzez spreparowaną nazwę użytkownika. Frontend escapuje nazwę użytkownika funkcją escapeHTML() przed interpolacją do atrybutu onclick przycisku usuwania konta, ale przeglądarka dekoduje wartości atrybutów przed parsowaniem przez silnik JavaScript, co pozwala na złamanie literału stringa i wstrzyknięcie dowolnego JavaScript, który wykona się po kliknięciu przycisku usuwania.

HCL AION jest podatny na brak wystarczających mechanizmów anty-automatyzacyjnych na niektórych punktach końcowych. Automatyczne lub skryptowe żądania mogą być wysyłane bez odpowiedniego ograniczania szybkości lub mechanizmów wyzwań, co może prowadzić do nieoczekiwanego zachowania lub wpływu na bezpieczeństwo w określonych warunkach.