Katalog podatności CVE

W AstrBotDevs AstrBot do wersji 4.25.5 występuje podatność nieprawidłowej autoryzacji w nieznanej funkcji pliku astrbot/core/astr_main_agent.py poprzez manipulację argumentem req.func_tool. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.

Wtyczka Gillion do wersji 4.13 zawiera podatność nieuwierzytelnionego złamanego mechanizmu kontroli dostępu (Broken Access Control).

Wtyczka Easy Digital Downloads do wersji 3.6.9 umożliwia administratorowi dowolne usuwanie plików.

Wtyczka Checkout Field Editor for WooCommerce – Checkout Manager do wersji 3.0.5 umożliwia menedżerowi sklepu atak XSS (Cross Site Scripting).

Wtyczka Insert Headers and Footers Code – HT Script do wersji 1.1.8 zawiera podatność nieuwierzytelnionego Cross Site Request Forgery (CSRF).

Wtyczka Gallery PhotoBlocks do wersji 1.3.3 umożliwia współautorowi atak XSS (Cross Site Scripting).

Wtyczka Open User Map w wersji do 1.4.46 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka YayPricing w wersji do 3.5.6 ma podatność Broken Access Control z poziomu subskrybenta. Umożliwia to nieautoryzowany dostęp do funkcji lub danych.

Wtyczka Exclusive Addons Elementor w wersji do 2.8.0 ujawnia wrażliwe dane niezalogowanym użytkownikom (Unauthenticated Sensitive Data Exposure).

Wtyczka Feedzy w wersji do 5.2.4 zawiera podatność SSRF (Server Side Request Forgery) z poziomu kontrybutora. Umożliwia to wysyłanie żądań z serwera do wewnętrznych zasobów.

Wtyczka Photonic Gallery & Lightbox w wersji do 3.33 zawiera podatność XSS (Cross Site Scripting) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu.

Wtyczka Location Weather w wersji do 3.0.6 zawiera podatność XSS (Cross Site Scripting) z poziomu kontrybutora. Umożliwia to wstrzyknięcie złośliwego skryptu.

Wtyczka WP Google Review Slider w wersji 18.4 i starszych zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) bez wymaganego uwierzytelnienia. Atakujący może nakłonić administratora do wykonania niepożądanych działań.

Wtyczka Visual Composer Website Builder w wersji 45.15.0 i starszych ma podatność na złamanie kontroli dostępu dla użytkowników z rolą Współautora. Osoba o niskich uprawnieniach może uzyskać nieautoryzowany dostęp do funkcji.

Wtyczka Event Tickets w wersji 5.29.0.1 i starszych ma podatność na złamanie kontroli dostępu bez wymaganego uwierzytelnienia. Niezalogowany atakujący może uzyskać dostęp do funkcji przeznaczonych dla uprawnionych użytkowników.

Wtyczka MapPress Maps for WordPress w wersji 2.97.6 i starszych ujawnia wrażliwe dane bez wymaganego uwierzytelnienia. Niezalogowany atakujący może uzyskać dostęp do poufnych informacji.

Wtyczka Orbit Fox by ThemeIsle w wersji 3.0.7 i starszych zawiera podatność na atak XSS (Cross Site Scripting) dla użytkowników z rolą Autora. Autor może wstrzyknąć złośliwy skrypt.

Wtyczka BetterDocs w wersji 4.6.2 i starszych ma podatność na atak XSS (Cross Site Scripting) dla użytkowników z rolą Współautora. Współautor może wstrzyknąć złośliwy kod JavaScript.

Wtyczka WordPress Social Login and Register w wersji 7.8.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) dla użytkowników z rolą Współautora. Współautor może wstrzyknąć złośliwy skrypt.

Wtyczka AffiliateX w wersji 2.3.5 i starszych ma podatność na fałszerstwo żądania po stronie serwera (SSRF) bez wymaganego uwierzytelnienia. Niezalogowany atakujący może wysyłać żądania do wewnętrznych zasobów.