What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2023-10-20 08:15:13 | CVE-2023-5602 (lien direct) | Les boutons de partage des médias sociaux & amp;Le plugin d'icônes de partage social pour WordPress est vulnérable à la contrefaçon de demande inter-sites dans toutes les versions jusqu'aux et incluant 2.8.5.Cela est dû à une validation non-non manquante ou incorrecte sur plusieurs fonctions correspondant aux actions AJAX.Cela permet aux attaquants non authentifiés d'invoquer ces actions via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Social Media Share Buttons & Social Sharing Icons plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.8.5. This is due to missing or incorrect nonce validation on several functions corresponding to AJAX actions. This makes it possible for unauthenticated attackers to invoke those actions via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4961 (lien direct) | Le plugin Poptin pour WordPress est vulnérable aux scripts inter-sites stockés via \\ 'poptin-forme \' shortcode en versions jusqu'à et incluant 1,3 en raison de la désinfection et de la sortie des entrées insuffisantes sur les attributs fournis par l'utilisateur.Cela permet aux attaquants authentifiés avec des autorisations au niveau des contributeurs et au-dessus d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Poptin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via \'poptin-form\' shortcode in versions up to, and including, 1.3 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4021 (lien direct) | Le plugin Calendar Lite Modern Events pour WordPress est vulnérable aux scripts inter-sites stockés via la touche API Google et l'ID de calendrier dans les versions jusqu'à, mais sans l'inclure, 7.1.0 en raison de la désinfection et de l'échappement des sorties insuffisantes.Cela permet aux attaquants authentifiés, avec les autorisations de niveau administrateur et au-dessus, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.Cela n'affecte que les installations et les installations multi-sites où non filtré_html a été désactivé.
The Modern Events Calendar lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Google API key and Calendar ID in versions up to, but not including, 7.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4923 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_bulkoperations_delete.Cela permet aux attaquants non authentifiés de supprimer des produits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_bulkoperations_delete function. This makes it possible for unauthenticated attackers to delete products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4999 (lien direct) | Le plugin d'annonce de défilement horizontal pour WordPress est vulnérable à l'injection SQL via le raccourci du plugin \\ du plugin \\ du plugin dans les versions jusqu'à et incluant 9.2 en raison de l'échappement insuffisant sur le paramètre fourni par l'utilisateur et le manque de préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur la préparation suffisante sur larequête SQL existante.Cela permet aux attaquants authentifiés avec des autorisations au niveau des abonnés et au-dessus d'ajouter des requêtes SQL supplémentaires dans des requêtes déjà existantes qui peuvent être utilisées pour extraire des informations sensibles de la base de données.
The Horizontal scrolling announcement plugin for WordPress is vulnerable to SQL Injection via the plugin\'s [horizontal-scrolling] shortcode in versions up to, and including, 9.2 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers with subscriber-level and above permissions to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4941 (lien direct) | L'ours pour WordPress est vulnérable à l'autorisation manquante dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à une vérification de capacité manquante sur la fonction woobe_bulkoperations_swap.Cela permet aux attaquants authentifiés (abonnés ou plus) de manipuler les produits.
The BEAR for WordPress is vulnerable to Missing Authorization in versions up to, and including, 1.1.3.3. This is due to a missing capability check on the woobe_bulkoperations_swap function. This makes it possible for authenticated attackers (subscriber or higher) to manipulate products. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4924 (lien direct) | L'ours pour WordPress est vulnérable à l'autorisation manquante dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû aux vérifications de la capacité manquantes sur la fonction woobe_bulkoperations_delete.Cela permet aux attaquants authentifiés, avec un accès aux abonnés ou plus, de supprimer les produits.
The BEAR for WordPress is vulnerable to Missing Authorization in versions up to, and including, 1.1.3.3. This is due to missing capability checks on the woobe_bulkoperations_delete function. This makes it possible for authenticated attackers, with subscriber access or higher, to delete products. |
|||
|
2023-10-20 08:15:12 | CVE-2023-3996 (lien direct) | Le plugin d'armember Lite - adhésion pour WordPress est vulnérable aux scripts inter-sites stockés via les paramètres d'administration dans les versions jusqu'à et y compris 4.0.14 en raison de l'échappement insuffisant des entrées et de l'échappement de la sortie.Cela permet aux attaquants authentifiés, avec les autorisations de niveau administrateur et au-dessus, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.Cela n'affecte que les installations et les installations multi-sites où non filtré_html a été désactivé.
The ARMember Lite - Membership Plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in versions up to, and including, 4.0.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4926 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_bulk_delete_products.Cela permet aux attaquants non authentifiés de supprimer des produits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_bulk_delete_products function. This makes it possible for unauthenticated attackers to delete products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4386 (lien direct) | Le plugin de blocs essentiels pour WordPress est vulnérable à l'injection d'objets PHP dans les versions jusqu'à, et y compris 4.2.0 via la désérialisation d'une entrée non fiable dans la fonction get_posts.Cela permet aux attaquants non authentifiés d'injecter un objet PHP.Aucune chaîne pop n'est présente dans le plugin vulnérable.Si une chaîne pop est présente via un plugin ou un thème supplémentaire installé sur le système cible, il pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.
The Essential Blocks plugin for WordPress is vulnerable to PHP Object Injection in versions up to, and including, 4.2.0 via deserialization of untrusted input in the get_posts function. This allows unauthenticated attackers to inject a PHP Object. No POP chain is present in the vulnerable plugin. If a POP chain is present via an additional plugin or theme installed on the target system, it could allow the attacker to delete arbitrary files, retrieve sensitive data, or execute code. |
|||
|
2023-10-20 08:15:12 | CVE-2023-3998 (lien direct) | Le plugin WPDiscuz pour WordPress est vulnérable à la modification non autorisée des données en raison d'une vérification d'autorisation manquante sur la fonction USERRATE dans les versions jusqu'à et incluant 7.6.3.Cela permet aux attaquants non authentifiés d'augmenter ou de diminuer la note d'un poste.
The wpDiscuz plugin for WordPress is vulnerable to unauthorized modification of data due to a missing authorization check on the userRate function in versions up to, and including, 7.6.3. This makes it possible for unauthenticated attackers to increase or decrease the rating of a post. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4648 (lien direct) | Le plugin Client Reviews WP pour WordPress est vulnérable aux scripts inter-sites stockés via les paramètres d'administration dans les versions jusqu'à, et y compris 3,6.6 en raison de l'échappement insuffisant des entrées et de la sortie.Cela permet aux attaquants authentifiés, avec les autorisations de niveau administrateur et au-dessus, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.Cela n'affecte que les installations et les installations multi-sites où non filtré_html a été désactivé.
The WP Customer Reviews plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in versions up to, and including, 3.6.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4796 (lien direct) | Le booster de WooCommerce pour WordPress est vulnérable à la divulgation d'informations via le shortcode \\ 'wcj_wp_option \' dans les versions jusqu'à et y compris 7.1.0 en raison de contrôles insuffisants sur les informations récupérables via le shortcode.Cela permet aux attaquants authentifiés, avec des capacités de niveau abonné ou plus, de récupérer des options de site sensibles arbitraires.
The Booster for WooCommerce for WordPress is vulnerable to Information Disclosure via the \'wcj_wp_option\' shortcode in versions up to, and including, 7.1.0 due to insufficient controls on the information retrievable via the shortcode. This makes it possible for authenticated attackers, with subscriber-level capabilities or above, to retrieve arbitrary sensitive site options. |
|||
|
2023-10-20 08:15:12 | CVE-2023-5070 (lien direct) | Les boutons de partage des médias sociaux & amp;Le plugin d'icônes de partage social pour WordPress est vulnérable à l'exposition sensible aux informations dans les versions jusqu'à et y compris 2.8.5 via la fonction SFSI_SAVE_EXPORT.Cela peut permettre aux abonnés d'exporter des paramètres de plugin qui incluent des jetons et des secrets d'authentification des médias sociaux ainsi que des mots de passe de l'application.
The Social Media Share Buttons & Social Sharing Icons plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 2.8.5 via the sfsi_save_export function. This can allow subscribers to export plugin settings that include social media authentication tokens and secrets as well as app passwords. |
|||
|
2023-10-20 08:15:12 | CVE-2023-4668 (lien direct) | L'inserteur d'annonce pour WordPress est vulnérable à l'exposition aux informations sensibles dans les versions jusqu'à et y compris 2.7.30 via le paramètre URL de processeur-debug AI.Cela peut permettre aux attaquants non authentifiés d'extraire des données sensibles, y compris les plugins installés (présent et actif), le thème actif, divers paramètres de plugin, la version WordPress, ainsi que certains paramètres de serveur tels que la limite de mémoire, les chemins d'installation.
The Ad Inserter for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 2.7.30 via the ai-debug-processing-fe URL parameter. This can allow unauthenticated attackers to extract sensitive data including installed plugins (present and active), active theme, various plugin settings, WordPress version, as well as some server settings such as memory limit, installation paths. |
|||
|
2023-10-20 08:15:12 | CVE-2023-3869 (lien direct) | Le plugin WPDiscuz pour WordPress est vulnérable à la modification non autorisée des données en raison d'une vérification d'autorisation manquante sur la fonction de premier plan dans les versions jusqu'à et incluant 7.6.3.Cela permet aux attaquants non authentifiés d'augmenter ou de diminuer la note d'un commentaire.
The wpDiscuz plugin for WordPress is vulnerable to unauthorized modification of data due to a missing authorization check on the voteOnComment function in versions up to, and including, 7.6.3. This makes it possible for unauthenticated attackers to increase or decrease the rating of a comment. |
|||
|
2023-10-20 08:15:11 | CVE-2021-4334 (lien direct) | Le plugin de concepteur de produits fantaisie pour WordPress est vulnérable à la modification non autorisée des options du site en raison d'une vérification de capacité manquante sur la fonction fpd_update_options dans les versions jusqu'à et incluant 4.6.9.Cela permet aux attaquants authentifiés avec des autorisations de niveau abonné pour modifier les options du site, y compris la définition du rôle par défaut sur l'administrateur qui peut permettre une escalade de privilège.
The Fancy Product Designer plugin for WordPress is vulnerable to unauthorized modification of site options due to a missing capability check on the fpd_update_options function in versions up to, and including, 4.6.9. This makes it possible for authenticated attackers with subscriber-level permissions to modify site options, including setting the default role to administrator which can allow privilege escalation. |
|||
|
2023-10-20 08:15:11 | CVE-2021-4418 (lien direct) | Le CSS personnalisé, JS & AMP;Le plugin PHP pour WordPress est vulnérable à la contrefaçon de demande de site croisé dans les versions jusqu'à et y compris 2.0.7.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction SAVE ().Cela permet aux attaquants non authentifiés de sauvegarder des extraits de code via une demande forgée accordé qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Custom CSS, JS & PHP plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 2.0.7. This is due to missing or incorrect nonce validation on the save() function. This makes it possible for unauthenticated attackers to save code snippets via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36753 (lien direct) | Le thème Hueman de WordPress est vulnérable à la falsification des demandes de site croisé dans les versions jusqu'à et comprenant 3.6.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction SAVE_META_BOX ().Cela permet aux attaquants non authentifiés de sauvegarder les données Metabox via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Hueman theme for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.6.3. This is due to missing or incorrect nonce validation on the save_meta_box() function. This makes it possible for unauthenticated attackers to save metabox data via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2022-3622 (lien direct) | Le plugin Blog2Social pour WordPress est vulnérable au contournement d'autorisation en raison des vérifications de la capacité manquantes en versions jusqu'en 69.9.11.Cela permet aux attaquants authentifiés, avec des autorisations de niveau abonné et au-dessus, de modifier certains paramètres des plugins destinés à être modifiables uniquement par les administrateurs.
The Blog2Social plugin for WordPress is vulnerable to authorization bypass due to missing capability checks in versions up to, and including, 6.9.11. This makes it possible for authenticated attackers, with subscriber-level permissions and above, to change some plugin settings intended to be modifiable by admins only. |
|||
|
2023-10-20 08:15:11 | CVE-2022-4943 (lien direct) | Le plugin Google Authenticator de Miniorange \\ pour WordPress est vulnérable au contournement d'autorisation en raison d'une vérification de capacité manquante lors de la modification des paramètres du plugin dans les versions jusqu'à et incluant 5.6.5.Cela permet aux attaquants non authentifiés de modifier les paramètres du plugin \\.
The miniOrange\'s Google Authenticator plugin for WordPress is vulnerable to authorization bypass due to a missing capability check when changing plugin settings in versions up to, and including, 5.6.5. This makes it possible for unauthenticated attackers to change the plugin\'s settings. |
|||
|
2023-10-20 08:15:11 | CVE-2022-3342 (lien direct) | Le plugin Jetpack CRM pour WordPress est vulnérable à la désérialisation du phar via le & acirc; & euro; & tilde; zbscrmcsvimpf & acirc; & euro; & commerce;Paramètre dans le \\ 'zerobscrm_csvimporterlitehtml_app \' fonction dans les versions jusqu'à et incluant 5.3.1.Bien que la fonction effectue une vérification nonce, les étapes 2 et 3 du contrôle ne prennent aucune mesure sur un chèque raté.Ces étapes effectuent ensuite un \\ 'file_exists \' vérifier la valeur de \\ 'zbscrmcsvimpf \'.Si une archive phar: // est fournie, son contenu sera désérialisé et un objet injecté dans le flux d'exécution.Cela permet à un attaquant non authentifié d'obtenir l'injection d'objets s'ils sont capables de télécharger une archive Phar (par exemple si le site prend en charge les téléchargements d'image), puis de faire entrer un administrateur pour effectuer une action, comme cliquer sur un lien.
The Jetpack CRM plugin for WordPress is vulnerable to PHAR deserialization via the ‘zbscrmcsvimpf’ parameter in the \'zeroBSCRM_CSVImporterLitehtml_app\' function in versions up to, and including, 5.3.1. While the function performs a nonce check, steps 2 and 3 of the check do not take any action upon a failed check. These steps then perform a \'file_exists\' check on the value of \'zbscrmcsvimpf\'. If a phar:// archive is supplied, its contents will be deserialized and an object injected in the execution stream. This allows an unauthenticated attacker to obtain object injection if they are able to upload a phar archive (for instance if the site supports image uploads) and then trick an administrator into performing an action, such as clicking a link. |
|||
|
2023-10-20 08:15:11 | CVE-2022-4290 (lien direct) | Le plugin CYR à LAT pour WordPress est vulnérable à l'injection SQL authentifiée via la fonction \\ 'ctl_sanitize_title \' dans les versions jusqu'à et incluant 3,5 en raison de l'échappement insuffisant sur le paramètre fourni par l'utilisateur et du manque de préparation suffisante sur le SQL existantrequête.Cela permet potentiellement les utilisateurs authentifiés avec la possibilité d'ajouter ou de modifier des termes ou des balises pour ajouter des requêtes SQL supplémentaires dans des requêtes déjà existantes qui peuvent être utilisées pour extraire des informations sensibles de la base de données.Un correctif partiel est devenu disponible dans la version 3.6 et le problème a été entièrement corrigé dans la version 3.7.
The Cyr to Lat plugin for WordPress is vulnerable to authenticated SQL Injection via the \'ctl_sanitize_title\' function in versions up to, and including, 3.5 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This potentially allows authenticated users with the ability to add or modify terms or tags to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. A partial patch became available in version 3.6 and the issue was fully patched in version 3.7. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36751 (lien direct) | Le plugin de créateur de coupons pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et comprenant 3.1.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction SAVE_META ().Cela permet aux attaquants non authentifiés de sauvegarder des champs de méta via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Coupon Creator plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.1. This is due to missing or incorrect nonce validation on the save_meta() function. This makes it possible for unauthenticated attackers to save meta fields via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36714 (lien direct) | Le plugin de Brizy pour WordPress est vulnérable au contournement d'autorisation en raison d'une vérification de capacité incorrecte sur la fonction is_administrator () dans les versions jusqu'à et y compris le 1.0.125.Cela permet aux attaquants authentifiés d'accéder et d'interagir avec les fonctions AJAX disponibles.
The Brizy plugin for WordPress is vulnerable to authorization bypass due to a incorrect capability check on the is_administrator() function in versions up to, and including, 1.0.125. This makes it possible for authenticated attackers to access and interact with available AJAX functions. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36754 (lien direct) | Le plugin Pays Adhips Pro pour WordPress est vulnérable à la falsification des demandes de site transversale dans les versions jusqu'à et comprenant 2.4.2.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction pMPro_page_save ().Cela permet aux attaquants non authentifiés de sauvegarder des pages via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Paid Memberships Pro plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 2.4.2. This is due to missing or incorrect nonce validation on the pmpro_page_save() function. This makes it possible for unauthenticated attackers to save pages via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36755 (lien direct) | Le thème CustomIzr pour WordPress est vulnérable à la falsification des demandes de site transversal dans les versions jusqu'à et comprenant 4.3.0.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction CZR_FN_POST_FIELDS_SAVE ().Cela permet aux attaquants non authentifiés de publier des champs via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Customizr theme for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 4.3.0. This is due to missing or incorrect nonce validation on the czr_fn_post_fields_save() function. This makes it possible for unauthenticated attackers to post fields via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2022-2441 (lien direct) | Le plugin de moteur ImageMagick pour WordPress est vulnérable à l'exécution du code distant via le paramètre \\ 'CLI_PATH \' dans les versions jusqu'à et y compris 1.7.5.Cela permet aux utilisateurs non authentifiés d'exécuter des commandes arbitraires conduisant à une exécution de commandes distante, accordé qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.Cela permet à un attaquant de créer et ou de modifier des fichiers hébergés sur le serveur qui peuvent facilement accorder aux attaquants un accès de porte dérobée au serveur affecté.
The ImageMagick Engine plugin for WordPress is vulnerable to remote code execution via the \'cli_path\' parameter in versions up to, and including 1.7.5. This makes it possible for unauthenticated users to run arbitrary commands leading to remote command execution, granted they can trick a site administrator into performing an action such as clicking on a link. This makes it possible for an attacker to create and or modify files hosted on the server which can easily grant attackers backdoor access to the affected server. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36759 (lien direct) | Le plugin Woody Code Snippets pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris 2.3.9.Cela est dû à la validation non-ONC manquante ou incorrecte sur la fonction runactions ().Cela permet aux attaquants non authentifiés d'activer et de désactiver les extraits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Woody code snippets plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 2.3.9. This is due to missing or incorrect nonce validation on the runActions() function. This makes it possible for unauthenticated attackers to activate and deactivate snippets via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 08:15:11 | CVE-2020-36758 (lien direct) | L'agrégateur RSS par plugin de me dépannage pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et comprenant 3.4.2.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction SAVE_FEEDZY_POST_TYPE_META ().Cela permet aux attaquants non authentifiés de mettre à jour le poste de méta via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The RSS Aggregator by Feedzy plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 3.4.2. This is due to missing or incorrect nonce validation on the save_feedzy_post_type_meta() function. This makes it possible for unauthenticated attackers to update post meta via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5120 (lien direct) | La migration, la sauvegarde, la mise en scène & acirc; & euro; & ldquo;Le plugin WPVid pour WordPress est vulnérable aux scripts inter-sites stockés via le paramètre de chemin de fichier image dans les versions jusqu'à et incluant 0.9.89 en raison de l'échappement insuffisant des entrées et de l'échappement de sortie.Cela permet aux attaquants authentifiés avec des privilèges administratifs d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Migration, Backup, Staging – WPvivid plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the image file path parameter in versions up to, and including, 0.9.89 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers with administrative privileges to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5050 (lien direct) | Le plug-in de cartographie de la foliole pour WordPress est vulnérable aux scripts inter-sites stockés via les shortcodes dans les versions jusqu'aux et incluant 3.3.0 en raison de l'échappement insuffisant des entrées et de l'échappement de la sortie.Cela permet aux attaquants authentifiés avec un niveau de contributeur et des autorisations supérieures à injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Leaflet Map plugin for WordPress is vulnerable to Stored Cross-Site Scripting via shortcodes in versions up to, and including, 3.3.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers with contributor level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5523 (lien direct) | Exécution du contenu téléchargé défaut dans M-Files Web Companion avant la version 23.10 et les versions de version du service LTS avant le 23.8 LTS SR1
Exécution du code distant & acirc; & nbsp;
Execution of downloaded content flaw in M-Files Web Companion before release version 23.10 and LTS Service Release Versions before 23.8 LTS SR1 allows Remote Code Execution |
|||
|
2023-10-20 07:15:17 | CVE-2023-5524 (lien direct) | Liste noire insuffisante dans M-Files Web Companion avant la version version 23.10 et les versions de version du service LTS avant le 23.8 LTS SR1
Exécution du code distant
via des types de fichiers spécifiques
Insufficient blacklisting in M-Files Web Companion before release version 23.10 and LTS Service Release Versions before 23.8 LTS SR1 allows Remote Code Execution via specific file types |
|||
|
2023-10-20 07:15:17 | CVE-2023-5200 (lien direct) | Le plugin Flowpaper pour WordPress est vulnérable aux scripts inter-sites stockés via \\ 'flipbook \' shortcode en versions jusqu'aux et incluant 2.0.3 en raison de la désinfection des entrées et de la sortie insuffisantes sur les attributs fournis par l'utilisateur.Cela permet aux attaquants authentifiés avec des autorisations au niveau des contributeurs et au-dessus d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The flowpaper plugin for WordPress is vulnerable to Stored Cross-Site Scripting via \'flipbook\' shortcode in versions up to, and including, 2.0.3 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5414 (lien direct) | Le plugin IceGram Express pour WordPress est vulnérable à la traversée du répertoire dans les versions jusqu'à et incluant 5.6.23 via la fonction show_es_logs.Cela permet aux attaquants de niveau administrateur de lire le contenu des fichiers arbitraires sur le serveur, qui peuvent contenir des informations sensibles, y compris celles appartenant à d'autres sites, par exemple dans des environnements d'hébergement partagés.
The Icegram Express plugin for WordPress is vulnerable to Directory Traversal in versions up to, and including, 5.6.23 via the show_es_logs function. This allows administrator-level attackers to read the contents of arbitrary files on the server, which can contain sensitive information including those belonging to other sites, for example in shared hosting environments. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5071 (lien direct) | Le plugin SiteKit pour WordPress est vulnérable aux scripts inter-sites stockés via \\ 'SITEKIT_IFRAME \' Shortcode en versions jusqu'à et incluant 1,4 en raison d'une désinfecture et d'une sortie d'insuffisance insuffisantes.Cela permet aux attaquants authentifiés, avec un accès au niveau des contributeurs et au-dessus, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Sitekit plugin for WordPress is vulnerable to Stored Cross-Site Scripting via \'sitekit_iframe\' shortcode in versions up to, and including, 1.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5308 (lien direct) | Le plugin de boutons Podcast Abonnez-vous pour WordPress est vulnérable aux scripts inter-sites stockés via \\ 'podcast_subscribe \' shortcode en versions jusqu'à et y compris 1.4.8 en raison de la désinfection d'entrée et de la sortie insuffisantes sur les attributs fournis par l'utilisateur.Cela permet aux attaquants authentifiés avec des autorisations au niveau des contributeurs et au-dessus d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Podcast Subscribe Buttons plugin for WordPress is vulnerable to Stored Cross-Site Scripting via \'podcast_subscribe\' shortcode in versions up to, and including, 1.4.8 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with contributor-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:17 | CVE-2023-5576 (lien direct) | Le plugin Migration, Backup, Staging - WPViDid pour WordPress est vulnérable à l'exposition aux informations sensibles dans les versions jusqu'à et incluant 0.9.91 via Google Drive API Secrets stocké en texte clair dans la source de plugin visible publiquement.Cela pourrait permettre aux attaquants non authentifiés d'identifier le compte WPVid Google Drive via l'API s'il peut inciter un utilisateur à réauthentifier via une autre vulnérabilité ou ingénierie sociale.
The Migration, Backup, Staging - WPvivid plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 0.9.91 via Google Drive API secrets stored in plaintext in the publicly visible plugin source. This could allow unauthenticated attackers to impersonate the WPVivid Google Drive account via the API if they can trick a user into reauthenticating via another vulnerability or social engineering. |
Vulnerability | ||
|
2023-10-20 07:15:16 | CVE-2023-4919 (lien direct) | Le plugin IFRAME pour WordPress est vulnérable aux scripts inter-sites stockés via le raccourci `iframe 'dans les versions jusqu'à et incluant 4.6 en raison de l'échappement insuffisant des entrées et de l'échappement de sortie.Cela permet aux attaquants authentifiés, avec l'autorisation au niveau des contributeurs et au-dessus, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.Cela a été partiellement corrigé dans la version 4.6 et entièrement corrigé dans la version 4.7.
The iframe plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the `iframe` shortcode in versions up to, and including, 4.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level permission and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This was partially patched in version 4.6 and fully patched in version 4.7. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4940 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_bulkoperations_swap.Cela permet aux attaquants non authentifiés de manipuler des produits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_bulkoperations_swap function. This makes it possible for unauthenticated attackers to manipulate products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4935 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non-non manquante ou incorrecte sur la fonction create_profile.Cela permet aux attaquants non authentifiés de créer des profils via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the create_profile function. This makes it possible for unauthenticated attackers to create profiles via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4937 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_bulkoperations_apply_default_combination.Cela permet aux attaquants non authentifiés de manipuler des produits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_bulkoperations_apply_default_combination function. This makes it possible for unauthenticated attackers to manipulate products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4920 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_save_options.Cela permet aux attaquants non authentifiés de modifier les paramètres du plugin \\ via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.De plus, la désinfection et l'échappement des entrées sont insuffisantes, ce qui entraîne la possibilité d'une injection de script malveillante.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_save_options function. This makes it possible for unauthenticated attackers to modify the plugin\'s settings via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. Additionally, input sanitization and escaping is insufficient resulting in the possibility of malicious script injection. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4947 (lien direct) | Le plugin de passerelle de paiement WooCommerce EAN pour WordPress est vulnérable à la modification non autorisée des données en raison d'une vérification des capacités manquantes sur l'action Refresh_Order_Ean_Data Ajax dans les versions jusqu'à 6.1.0.Cela permet aux attaquants authentifiés avec un accès au niveau des contributeurs et au-dessus, de mettre à jour les numéros EAN pour les commandes.
The WooCommerce EAN Payment Gateway plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the refresh_order_ean_data AJAX action in versions up to 6.1.0. This makes it possible for authenticated attackers with contributor-level access and above, to update EAN numbers for orders. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4943 (lien direct) | L'ours pour WordPress est vulnérable à l'autorisation manquante dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à une vérification de capacité manquante sur la fonction woobe_bulkoperations_visibilité.Cela permet aux attaquants authentifiés (abonnés ou plus) de manipuler les produits.
The BEAR for WordPress is vulnerable to Missing Authorization in versions up to, and including, 1.1.3.3. This is due to a missing capability check on the woobe_bulkoperations_visibility function. This makes it possible for authenticated attackers (subscriber or higher) to manipulate products. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4975 (lien direct) | Le Builder du site Web par le plugin SeedProd pour WordPress est vulnérable à la falsification des demandes de site transversale dans les versions jusqu'aux et incluant 6.15.13.1.Cela est dû à la validation non pas manquante ou incorrecte sur les fonctionnalités dans le fichier builder.php.Cela permet aux attaquants non authentifiés de modifier le jeton de connexion Stripe via une demande forgée accordé qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The Website Builder by SeedProd plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 6.15.13.1. This is due to missing or incorrect nonce validation on functionality in the builder.php file. This makes it possible for unauthenticated attackers to change the stripe connect token via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4968 (lien direct) | Le plugin WPLEGALPAGES pour WordPress est vulnérable aux scripts inter-sites stockés via \\ 'wplegalpage \' shortcode dans les versions jusqu'à et incluant 2.9.2 en raison de la désinfection et de la sortie insuffisantes et de la sortie sur les attributs fournis par l'utilisateur.Cela permet aux attaquants authentifiés avec des autorisations au niveau de l'auteur et au-dessus d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The WPLegalPages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via \'wplegalpage\' shortcode in versions up to, and including, 2.9.2 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers with author-level and above permissions to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|||
|
2023-10-20 07:15:16 | CVE-2023-4942 (lien direct) | L'Ours pour WordPress est vulnérable à la contrefaçon de demande de site transversal dans les versions jusqu'à et y compris le 1.1.3.3.Cela est dû à la validation non pas manquante ou incorrecte sur la fonction woobe_bulkoperations_visibilité.Cela permet aux attaquants non authentifiés de manipuler des produits via une demande forgée accordée qu'ils peuvent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.
The BEAR for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3.3. This is due to missing or incorrect nonce validation on the woobe_bulkoperations_visibility function. This makes it possible for unauthenticated attackers to manipulate products via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. |
|||
|
2023-10-20 07:15:15 | CVE-2023-4482 (lien direct) | Le plugin Auto Amazon Links pour WordPress est vulnérable aux scripts inter-sites stockés via le paramètre de style dans les versions jusqu'à, et y compris, 5.3.1 en raison de l'échappement insuffisant des entrées et de l'échappement de sortie.Cela permet aux attaquants authentifiés avec l'accès des contributeurs à injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.
The Auto Amazon Links plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the style parameter in versions up to, and including, 5.3.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers with contributor access to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
To see everything:
Our RSS (filtrered)
