Kostenloser Plan, keine Kreditkarte, erster Fehler in Minuten.
Kostenloses Projekt anlegenErfahren Sie, welche Schwachstellen Ihre Technologien betreffen und wie Sie diese beheben. Hier finden Sie verständliche Erklärungen, betroffene Versionen und konkrete Empfehlungen - von CMS und Plugins bis zu Anwendungsbibliotheken.
Eine Cross-Site-Scripting-Schwachstelle im Kommentarmodul von Contao erlaubt nicht authentifizierten Angreifern das Einschleusen von Schadcode. Beim Öffnen der Moderationsansicht im Backend kann der Code mit den Rechten des angemeldeten Benutzers ausgeführt werden.
Eine fehlerhafte Zugriffskontrolle in Contao ermöglicht es Backend-Benutzern, alle Vorschaulinks einzusehen und signierte Freigabe-URLs für unveröffentlichte Inhalte abzurufen.
Ein Caching-Fehler im Table Access Security Voter von Contao ermöglicht es Backend-Benutzern mit geringen Rechten, Modulberechtigungen zu umgehen und unbefugt auf sensible Datenbanktabellen zuzugreifen.
Eine Autorisierungsumgehung im dokumentenbezogenen Consent-Gate von pacioli ermöglicht es verschachtelten Aktionen, vom Aufrufer angegebene Dokumente ohne menschliche Freigabe oder Audit-Eintrag zu stornieren.
Eine gespeicherte Cross-Site-Scripting-Schwachstelle im WordPress-Plugin PeproDev Ultimate Profile Solutions ermöglicht es authentifizierten Angreifern ab Mitarbeiter-Rolle, Schadcode in Webseiten einzuschleusen.
Eine Sicherheitslücke in HivePress ermöglicht es nicht authentifizierten Angreifern, über benutzerdefinierte Profilattribute bösartige Skripte einzuschleusen, die beim Aufruf betroffener Seiten ausgeführt werden.
Das WordPress-Plugin Listdom bis Version 6.1.2 ermöglicht es authentifizierten Administratoren, über eine Pfadüberquerung beliebige Dateien auf dem Server zu löschen, was zur Remotecodeausführung führen kann.
Das WordPress-Plugin Divi Plus ermöglicht unauthentifizierten Angreifern das Auslesen beliebiger Dateien vom Server über eine fehlerhafte Eingabevalidierung in einem REST-Endpunkt.
Eine gespeicherte DOM-basierte Cross-Site-Scripting-Schwachstelle im Molongui Authorship-Plugin ermöglicht es nicht authentifizierten Angreifern, über das href-Attribut in Kommentaren Schadcode einzuschleusen, der beim Aufruf betroffener Seiten ausgeführt wird.
Das FunnelKit-Plugin für WordPress ist über Bestellfelder für unauthentifiziertes Stored XSS anfällig. Angreifer können beliebige Web-Skripte einschleusen, die beim Aufruf betroffener Seiten im Browser von Benutzern ausgeführt werden.
Eine fehlende Autorisierungsprüfung in AutomatorWP ermöglicht es authentifizierten Benutzern ab Abonnenten-Rolle, Fluent Forms-Einträge samt Formular-IDs und Titeln einzusehen.
Eine Sicherheitslücke im Avada-Theme für WordPress ermöglicht es authentifizierten Benutzern, bösartige Skripte in Profil-Social-Links zu speichern. Bei einem Klick können diese Skripte im Browser des Besuchers ausgeführt werden.
Das WordPress-Plugin WPAdverts weist eine Sicherheitslücke für unauthentifiziertes Stored XSS über den Parameter adverts_location auf. Angreifer können Skripte einschleusen, die beim Aufruf betroffener Seiten ausgeführt werden.
Das LatePoint-Plugin für WordPress ist in Versionen bis 5.7.2 anfällig für nicht authentifizierte SQL-Injection über den Parameter „booking[service_id]“. Angreifer können darüber sensible Daten aus der Datenbank auslesen.
Im WordPress-Plugin Email Marketing for WordPress and WooCommerce – Retainful können authentifizierte Benutzer ab Abonnenten-Rolle beliebige Skripte einschleusen, die beim Aufruf betroffener Seiten ausgeführt werden.
Das SureDash-Plugin für WordPress ist über das alt-Attribut von Bildern anfällig für gespeichertes DOM-basiertes Cross-Site Scripting, wodurch angemeldete Benutzer ab Abonnenten-Rolle beliebige Skripte ausführen können.
Im WordPress-Plugin WPO365 Login bis Version 44.1 ermöglicht eine Schwachstelle unauthentifizierten Angreifern das Einschleusen von schadhaftem Skriptcode über manipulierte JWT-Claims, der beim Aufruf der Einrichtungsseite durch Administratoren ausgeführt wird.
Das Motors-Plugin für WordPress ist über den Parameter stm_f_s anfällig für gespeichertes Cross-Site Scripting. Authentifizierte Benutzer ab Abonnenten-Ebene können Skripte einschleusen, die beim Aufruf manipulierter Seiten ausgeführt werden.
Im WordPress-Plugin WebToffee WooCommerce PDF Invoices bis Version 5.0.2 ermöglicht eine IDOR-Schwachstelle unbefugten Zugriff auf Bestelldokumente und Kundendaten, sofern der Gastzugriff aktiviert ist.
Im WordPress-Plugin WPO365 | LOGIN besteht eine Schwachstelle zur Umgehung der Authentifizierung. Angreifer mit einem zuvor ausgestellten Token können diesen erneut abspielen und Konten inklusive Administratoren übernehmen, sofern eine bestimmte Option aktiv ist.
Eine reflektierte Cross-Site-Scripting-Schwachstelle im WordPress-Plugin WPForms ermöglicht es Angreifern, unter bestimmten Konfigurationsbedingungen über manipulierte Links beliebigen Skriptcode auszuführen.
WP Directory Kit für WordPress ist über das Profilfeld display_name anfällig für Second-Order-SQL-Injection. Authentifizierte Benutzer ab Abonnenten-Status können vertrauliche Informationen aus der Datenbank auslesen.
Das WordPress-Plugin Premium Packages ist über Checkout-Abrechnungsparameter anfällig für Stored Cross-Site Scripting. Authentifizierte Angreifer mit Abonnentenrechten können Schadcode einschleusen, der beim Aufruf der betroffenen Seiten ausgeführt wird.
Im WPCOM Member Plugin für WordPress besteht eine kritische Schwachstelle, durch die nicht authentifizierte Angreifer die Authentifizierung umgehen und sich als beliebige Benutzer, einschließlich Administratoren, anmelden können.
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.