Dotkliwość: Średnia

Brak weryfikacji wtyczki WPBot umożliwia atakującym nieautoryzowany dostęp do API, generując koszty.

Brak ograniczeń w wtyczce WooCommerce pozwala użytkownikom na usunięcie produktów przez shortcode.

Brak odpowiedniego filtrowania atrybutów shortcode w WP Highlight Box umożliwia ataki XSS.

Brak weryfikacji uprawnień w wtyczce Sprout Invoices pozwala użytkownikom na nadpisywanie prywatnych notatek.

Brak sanitizacji w wtyczce Masteriyo LMS umożliwia ataki XSS na użytkowników z wyższymi uprawnieniami.

Brak sanitizacji atrybutów shortcode w wtyczce Custom Menu Wizard umożliwia wstrzyknięcie skryptów.

Brak weryfikacji CSRF w wtyczce BEAR WordPress pozwala na modyfikację terminów przez atakującego.

Brak weryfikacji CSRF w wtyczce BEAR WordPress pozwala na modyfikację konfiguracji przez atakującego.

Luka w wtyczce Temporary Login Without Password w WordPress pozwala na trwały dostęp administratora po wygaśnięciu tymczasowego logowania.

Luka w wtyczce SureRank SEO dla WordPressa ujawnia adresy e-mail użytkowników na publicznych stronach.

Brak weryfikacji płatności w wtyczce Booking for Appointments umożliwia potwierdzenie rezerwacji bez płatności.

Wstrzyknięcie JavaScript w QloApps pozwala atakującym na kradzież danych administracyjnych.

Błąd walidacji adresów e-mail w aiosmtplib umożliwia atakującym wstrzykiwanie parametrów ESMTP.

Błąd w starlette-admin umożliwia atakującym filtrowanie po nieprzeznaczonych do wyszukiwania polach.

Słabe haszowanie hasła administracyjnego w systemie umożliwia jego odzyskanie przez lokalnych użytkowników.

Wysłanie danych logowania do nieoczekiwanego hosta w OpenStack Ironic prowadzi do ujawnienia informacji.

Błąd w reverse proxy umożliwia ominięcie uwierzytelnienia do interfejsu administracyjnego.

Błąd w autoryzacji aplikacji pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do nieznanych handlerów.

Wykorzystanie domyślnej wartości sekretu w konfiguracji pozwala na fałszowanie ciasteczek uwierzytelniających.

Brak weryfikacji certyfikatu serwera w proxy umożliwia fałszowanie tokenów przez atakującego.

Błąd w konfiguracji w systemie analizy pakietów pozwala uwierzytelnionym użytkownikom modyfikować tagi rekordów.

Brak odpowiedniego kodowania w interfejsie webowym umożliwia atak XSS i przejęcie sesji użytkownika.

Brak walidacji ścieżek plików w interfejsie do przesyłania plików umożliwia atakującemu zapis do dowolnej lokalizacji.

Brak walidacji wartości w API umożliwia atakującemu dostęp do poufnych danych.

Błąd w regułach routingu umożliwia atakującemu z niskimi uprawnieniami eskalację uprawnień.