Pods
Уязвимости
12
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.02041
Распределение по критичности
Критический
1
Высокий
4
Средний
7
Низкий
0
Затронутые диапазоны версий
< 2.7.27< 2.7.31.2< 2.9.11< 3.2.1.1< 3.2.7.1< 3.2.8.1< 3.2.8.2≤ 2.4.3≤ 3.3.8
Также сопоставлено как (исходные строки): pods
Топ уязвимостей
CVE-2025-1446Плагин Pods для WordPress до 3.2.8.2 не очищает и не экранирует параметр перед его использованием в SQL-запросе, что позволяет администраторам выполнять атаки SQL-инъекции.
CVE-2023-6999Плагин Pods – Custom Content Types and Fields для WordPress уязвим для удаленного выполнения кода через шорткод во всех версиях до 3.0.10 включительно (за исключением 2.7.31.2, 2.8.23.2, 2.9.19.2). Это позволяет аутентифицированным злоумышленникам с уровнем доступа contributor или выше выполнять код на сервере.
CVE-2023-6967Плагин Pods – Custom Content Types and Fields для WordPress уязвим для SQL-инъекций через шорткод во всех версиях до 3.0.10 включительно (за исключением 2.7.31.2, 2.8.23.2, 2.9.19.2) из-за недостаточного экранирования параметра, предоставленного пользователем, и недостаточной подготовки существующего SQL-запроса. Это позволяет аутентифицированным злоумышленникам с уровнем доступа contributor или выше добавлять дополнительные SQL-запросы к уже существующим запросам, которые можно использовать для извлечения конфиденциальной информации из базы данных.
CVE-2023-23790Уязвимость Cross-Site Request Forgery (CSRF) в плагине Pods Framework Team Pods – Custom Content Types and Fields <= 2.9.10.2.
CVE-2026-54191Неаутентичный крест-сценарий (XSS) в версиях Pods <= 3.3.8.
CVE-2024-11849Плагин Pods WordPress до версии 3.2.8.1 не очищает и не экранирует некоторые из своих настроек, что может позволить пользователям с высокими привилегиями, таким как администратор, выполнять атаки с использованием хранимого межсайтового скриптинга, даже если возможность unfiltered_html запрещена (например, в многосайтовой установке).
CVE-2024-3956Плагин Pods – Custom Content Types and Fields для WordPress подвержен хранящемуся межсайтовому скриптингу (Stored Cross-Site Scripting) через виджет Pod Form во всех версиях до 3.2.1 включительно из-за недостаточной очистки входных данных и экранирования выходных данных в предоставленных пользователем атрибутах. Это позволяет аутентифицированным злоумышленникам с правами участника и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь заходит на зараженную страницу.
CVE-2021-24339WordPress плагин Pods – Custom Content Types and Fields версий до 2.7.27 был уязвим для аутентифицированной сохраненной уязвимости межсайтового скриптинга (XSS) в параметре поля 'Menu Label'.
CVE-2021-24338WordPress плагин Pods – Custom Content Types and Fields версий до 2.7.27 был уязвим для аутентифицированной сохраненной уязвимости межсайтового скриптинга (XSS) в параметре поля 'Singular Label'.
CVE-2024-9883Плагин Pods для WordPress версий ранее 3.2.7.1 не фильтрует и не экранирует некоторые свои настройки, что может позволить пользователям с высокими привилегиями, таким как администраторы, выполнять атаки с сохраненным межсайтовым скриптингом, даже если возможность unfiltered_html запрещена (например, в многосайтовой установке).
CVE-2023-6965Плагин Pods – Custom Content Types and Fields для WordPress уязвим для отсутствия авторизации во всех версиях до 3.0.10 включительно (за исключением 2.7.31.2, 2.8.23.2, 2.9.19.2). Это связано с тем, что плагин позволяет использовать функцию включения файлов через шорткод. Это позволяет аутентифицированным злоумышленникам с доступом уровня contributor или выше создавать pods и пользователей (с ролью по умолчанию).
CVE-2014-7956Уязвимость межсайтового скриптинга (XSS) в плагине Pods до версии 2.5 для WordPress позволяет удаленным злоумышленникам внедрять произвольный веб-скрипт или HTML через параметр id в действии редактирования на странице pods в wp-admin/admin.php.