Baza CVE

Exposure of data element to wrong session vulnerability in the JSON plugin of Apache Struts. Per-response serialization state could be shared across concurrent requests, allowing response content associated with one request to become observable in another. Only the SMD / JSON-RPC handling of the…

Brak szyfrowania danych w TRENDnet TEW-WLC100 umożliwia zdalne przechwycenie informacji.

The ECS WordPress plugin before 4.3.13 does not have capability or ownership checks on its dynamic repeater actions, relying only on a nonce available to any user who can open the page builder, allowing users with a contributor-level account or above to read, alter and delete the binding…

The Simply Schedule Appointments WordPress plugin before 1.6.12.17 does not restrict the user records returned by some of its REST endpoints to those the requester is entitled to see, allowing users with a low-privileged staff role to disclose the names and email addresses of arbitrary registered…

The Backup Migration WordPress plugin before 2.1.7 does not properly restrict a post-restore automatic login mechanism, allowing a user who administers one site of a multisite network to obtain a long-lived authenticated session as an administrator of another site in the same network, without…

The ECS WordPress plugin before 4.3.8 does not perform capability or object-ownership checks on its Dynamic Repeater AJAX handlers (gated only by a capability-agnostic nonce that any edit_posts user obtains from the Elementor editor), so a Contributor can write a data-source binding into any post…

The ECS WordPress plugin before 4.3.8 does not check the post status or any capability when rendering an Elementor document requested through one of its AJAX actions, allowing unauthenticated users to retrieve the rendered content of unpublished (private, draft, pending) documents by supplying…

Wstrzyknięcie SQL w Groundhogg umożliwia atakującym dostęp do wrażliwych danych.

Wtyczka Beaver Builder dla WordPressa ma lukę XSS, umożliwiającą atakującym wstrzykiwanie skryptów.

Wtyczka Invisible Anti-Spam & CAPTCHA dla WordPressa ma lukę SQL Injection, co pozwala na wyciek danych.

Druga kolejność wstrzyknięcia SQL w wtyczce WordPress pozwala uwierzytelnionym atakującym na wyciek danych.

Wtyczka Form Maker przez 10Web ma podatność na ślepą injekcję SQL, co pozwala na wyciek danych.

Wtyczka Invisible Anti-Spam & CAPTCHA dla WordPressa jest podatna na SQL Injection, co umożliwia atakującym dostęp do wrażliwych danych.

Wtyczka Hydra Booking dla WordPressa ma podatność na XSS, co pozwala na wstrzykiwanie skryptów.

Wstrzyknięcie SQL w wtyczce KiviCare dla WordPressa pozwala na wyciek danych z bazy.

Wtyczka Image Uploader dla Welcart w WordPressie jest podatna na wstrzyknięcie SQL, co pozwala na wyciek danych.

Obejście autoryzacji w wtyczce Booking Calendar pozwala nieautoryzowanym atakującym manipulować rezerwacjami.

Manipulacja ceną w wtyczce Pinpoint Booking System pozwala na zakup produktów po dowolnej cenie.

Wstrzyknięcie metacharakterów LDAP w Red Hat Quay umożliwia ataki na istnienie użytkownika.

Luka w Red Hat Quay pozwala administratorom na ujawnienie wrażliwych danych powiadomień.

Błąd w OpenStack Ironic powoduje opóźnienie w uruchamianiu czyszczenia po rejestracji.

Błąd w walidacji JWT w Red Hat Quay umożliwia nieautoryzowany dostęp przez obejście zabezpieczeń.

Obejście ograniczeń w OpenVPN pozwala lokalnym użytkownikom na ładowanie dowolnych plików konfiguracyjnych.

Błąd w OpenVPN umożliwia zdalnym użytkownikom błędną identyfikację przez ignorowanie pola tożsamości.

Błąd autoryzacji polityki QoS w OpenStack Octavia pozwala na zablokowanie usunięcia polityki.