Archiwum podatności

Poznaj podatności. Chroń swoje aplikacje.

Dowiedz się, które luki zagrażają Twoim technologiom i jak je usunąć. Znajdziesz tu opisy zagrożeń, podatne wersje i konkretne zalecenia - od CMS-ów i wtyczek po biblioteki aplikacji.

Platforma

Istotność

Ujawniono od

Ujawniono do

Archiwum podatności 71 436

Wysoka 09.10.2026

CVE-2026-96765

WPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) do wersji 44.1 – nieuwierzytelniony Stored Cross-Site Scripting przez parametr 'id_token'

Luka we wtyczce WPO365 Login dla WordPressa pozwala nieuwierzytelnionym atakującym na wstrzykiwanie złośliwych skryptów za pomocą parametru id_token, które wykonują się, gdy administrator odwiedzi kreator wtyczki.

Średnia 09.10.2026

CVE-2026-96563

Motors <= 1.4.123 – Uwierzytelnione (Subscriber+) wstrzykiwanie skryptów (Stored XSS) przez parametr 'stm_f_s'

Wtyczka Motors dla WordPressa w wersjach do wskazanej podatna jest na przechowywane XSS przez parametr stm_f_s. Uwierzytelnieni użytkownicy z uprawnieniami subskrybenta mogą wstrzykiwać złośliwe skrypty uruchamiane podczas przeglądania zainfekowanych stron.

Wysoka 09.10.2026

CVE-2026-93746

WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels <= 5.0.2 – Nieautoryzowany dostęp do dokumentów zamówień przez parametr „email” (IDOR)

Luka IDOR we wtyczce WebToffee WooCommerce PDF Invoices do wersji 5.0.2 pozwala nieuwierzytelnionym osobom uzyskać dostęp do dokumentów zamówień klientów przy włączonym dostępie dla gości.

Wysoka 09.10.2026

CVE-2026-104759

WPO365 | LOGIN <= 44.1 – Nieautoryzowane pominięcie uwierzytelniania przez powtórzenie nonce OIDC

Podatność w pluginie WPO365 | LOGIN dla WordPressa umożliwia nieuwierzytelnionym atakującym ponowne użycie przechwyconego tokenu i przejęcie kont, w tym kont administratorów, o ile włączona jest określona opcja wtyczki.

Średnia 09.10.2026

CVE-2026-101921

WPForms <= 2.0.2.1 – Reflected Cross-Site Scripting za pośrednictwem znacznika 'query_var' w atrybucie iframe srcdoc

Podatność typu reflected cross-site scripting we wtyczce WPForms pozwala nieuwierzytelnionym atakującym na wykonanie skryptów po kliknięciu przez ofiarę w spreparowany link przy specyficznej konfiguracji formularza.

Średnia 09.10.2026

CVE-2026-96653

WP Directory Kit <= 1.5.9 – Wstrzyknięcie SQL drugiego rzędu (uwierzytelniony subskrybent+) przez pole „display_name”

Wtyczka WP Directory Kit dla WordPressa jest podatna na wstrzykiwanie SQL drugiego rzędu przez pole profilu display_name. Uwierzytelnieni użytkownicy z uprawnieniami subskrybenta mogą wyodrębnić poufne dane z bazy danych.

Średnia 09.10.2026

CVE-2026-103478

Premium Packages <= 7.2.6 – Uwierzytelniony (subskrybent+) Stored Cross-Site Scripting przez parametr „checkout[billing][phone]”

Wtyczka Premium Packages dla WordPressa jest podatna na przechowywany Cross-Site Scripting przez parametry rozliczeniowe zamówienia. Uwierzytelnieni użytkownicy z rolą subskrybenta mogą wstrzykiwać złośliwe skrypty wykonywane podczas odwiedzania zainfekowanych stron.

Krytyczna 09.10.2026

CVE-2026-104803

WPCOM Member <= 1.7.27 – Nieuwierzytelnione obejście uwierzytelniania przez wywołanie zwrotne logowania społecznościowego

Krytyczna luka w wtyczce WPCOM Member dla WordPressa umożliwia nieuwierzytelnionym atakującym obejście uwierzytelniania i logowanie się na dowolne konto, w tym administratora.

Średnia 09.10.2026

CVE-2026-102291

Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.3.1 – Uwierzytelnione (Subskrybent+) wykonywanie dowolnych shortcode'ów przez 'display_name'

Wtyczka Kirki dla WordPressa umożliwia uwierzytelnionym użytkownikom od poziomu subskrybenta wykonanie dowolnych shortcode'ów za pośrednictwem pola display_name na opublikowanych stronach z dynamiczną zawartością.

Wysoka 09.10.2026

CVE-2026-96278

WP Photo Album Plus <= 9.3.03.002 – nieuwierzytelniony Stored Cross-Site Scripting przez historię sesji REQUEST_URI

Podatność typu stored cross-site scripting we wtyczce WP Photo Album Plus dla WordPressa pozwala nieuwierzytelnionym atakującym na wstrzykiwanie złośliwych skryptów poprzez historię sesji REQUEST_URI, wykonywanych przy odwiedzeniu strony przez użytkowników.

Średnia 09.10.2026

CVE-2026-96574

User Frontend <= 4.3.12 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'wpuf_payment_method' Parameter

Wysoka 09.10.2026

CVE-2026-96572

WP Meteor Website Speed Optimization Addon <= 3.4.18 - Unauthenticated Stored Cross-Site Scripting via Comment Author Name

Średnia 09.10.2026

CVE-2026-15178

Fluent Forms <= 6.2.5 - Missing Authorization to Authenticated (Custom+) Sensitive Data Exposure and Modification

Wysoka 09.10.2026

CVE-2026-12626

Wtyczka WordPress Bookly <= 28.2 – Uwierzytelnione wstrzykiwanie obiektów PHP

Wtyczka Bookly dla WordPressa jest podatna na uwierzytelnione wstrzykiwanie obiektów PHP przez parametr value. Użytkownicy z uprawnieniami niestandardowymi lub wyższymi mogą wstrzykiwać obiekty PHP, chociaż nie jest obecnie znany żaden łańcuch gadżetów.

Krytyczna 09.10.2026

CVE-2026-104801

PPOM <= 34.0.10 – nieuwierzytelnione usuwanie dowolnych plików przez parametr 'ppom[fields][<data_name>][n][org]'

Podatność we wtyczce PPOM for WooCommerce dla WordPressa umożliwia nieuwierzytelnionym osobom usuwanie i ujawnianie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.

Średnia 09.10.2026

CVE-2026-6243

Frontend Admin by DynamiApps <= 3.28.36 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post Content

Wysoka 09.10.2026

CVE-2026-94538

WP File Download <= 6.3.9 - Missing Authorization to Authenticated (Subscriber+) Arbitrary File Deletion/Modification via 'task' Parameter to Multiple Functions

Średnia 09.10.2026

CVE-2026-5725

Favicon Rotator <= 1.2.11 - Reflected Cross-Site Scripting via 'fvrt_' prefix

Średnia 09.10.2026

CVE-2026-3717

CV Builder – Professional Resume Builder SaaS <= 1.3.1 - Missing Authorization to Unauthenticated PNG File Upload

Średnia 09.10.2026

CVE-2026-107712

WP Booking System <= 2.1.0.1 - Authenticated (Subscriber+) SQL Injection via 'current_month' Parameter

Średnia 09.10.2026

CVE-2026-89100

Payment Plugins for Stripe WooCommerce <= 4.0.17 - Reflected DOM-Based Cross-Site Scripting via '#response' URL Fragment

Wysoka 09.10.2026

CVE-2026-100161

Photo Reviews for WooCommerce <= 1.2.30 - Unauthenticated Stored DOM-Based Cross-Site Scripting via 'wcpr_image_upload_id' Parameter

Wysoka 09.10.2026

CVE-2026-95684

VikBooking Hotel Booking Engine & PMS <= 1.8.15 - Unauthenticated Stored Cross-Site Scripting via 'attachments[name]' Parameter

Wysoka 09.10.2026

CVE-2026-107742

10Web Booster <= 2.34.8 - Unauthenticated Stored Cross-Site Scripting via Comment Author Name

Wyniki 145 do 168 z 71436 wyników

1
2
3
4
5
6
7
8
9
10
...
2976
2977

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację

Poznaj podatności. Chroń swoje aplikacje.

Archiwum podatności 71 436

Dowiedz się, które podatności dotyczą Twojej aplikacji

Bezpieczeństwo aplikacji w Twojej skrzynce