anchore_overrides,bdu,nvd
Vibethemes
Уязвимости
28
Эксплуатируемые
0
Критический
9
Высокий
16
Топ уязвимостей
CVE-2025-58668Отсутствующая уязвимость авторизации в VibeThemes WPLMS wplms позволяет эксплуатировать неправильно настроенные уровни безопасности контроля доступа. Эта проблема затрагивает WPLMS : от n/a до <= 4.970.
CVE-2024-56046Уязвимость Unrestricted Upload of File with Dangerous Type в VibeThemes WPLMS позволяет загрузить веб-оболочку на веб-сервер. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.
CVE-2024-56044Уязвимость Authentication Bypass Using an Alternate Path or Channel в VibeThemes WPLMS позволяет обойти аутентификацию. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.
CVE-2024-56043Уязвимость Incorrect Privilege Assignment в VibeThemes WPLMS позволяет повысить привилегии. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.
CVE-2024-56042Уязвимость Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') в VibeThemes WPLMS позволяет использовать SQL-инъекцию. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.3.
CVE-2024-10470Система управления обучением WPLMS для WordPress, тема WordPress LMS для WordPress уязвима для произвольного чтения и удаления файлов из-за недостаточной проверки пути к файлу и проверок разрешений в функциях readfile и unlink во всех версиях до 4.962 включительно. Это позволяет не прошедшим проверку подлинности злоумышленникам удалять произвольные файлы на сервере, что может легко привести к удаленному выполнению кода при удалении нужного файла (например, wp-config.php). Тема уязвима, даже если она не активирована.
CVE-2023-2704Плагин BP Social Connect для WordPress подвержен обходу аутентификации в версиях до 1.5 включительно. Это связано с недостаточной проверкой пользователя, предоставляемого во время входа в Facebook через плагин. Это позволяет неаутентифицированным злоумышленникам входить в систему от имени любого существующего пользователя на сайте, например администратора, если у них есть доступ к электронной почте.
BDU:2025-00107Уязвимость функции vibebp_register_user() сценария includes/class.ajax.php плагина VibeBP системы управления содержимым сайта WordPress связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
CVE-2024-56045Уязвимость Path Traversal: '.../...//' в VibeThemes WPLMS позволяет осуществить обход каталогов. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.
CVE-2024-56057Уязвимость Unrestricted Upload of File with Dangerous Type в VibeThemes WPLMS позволяет загрузить веб-оболочку на веб-сервер. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.2.
CVE-2024-56055Уязвимость Path Traversal: '.../...//' в VibeThemes WPLMS позволяет осуществить обход каталогов. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.2.
CVE-2024-56054Уязвимость Unrestricted Upload of File with Dangerous Type в VibeThemes WPLMS позволяет загрузить веб-оболочку на веб-сервер. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.2.
CVE-2024-56053Уязвимость Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') в VibeThemes WPLMS позволяет использовать SQL-инъекцию. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.3.
CVE-2024-56052Уязвимость Unrestricted Upload of File with Dangerous Type в VibeThemes WPLMS позволяет загрузить веб-оболочку на веб-сервер. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.2.
CVE-2024-56051Уязвимость Improper Control of Generation of Code ('Code Injection') в VibeThemes WPLMS позволяет осуществить инъекцию кода. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.
CVE-2024-56050Уязвимость Unrestricted Upload of File with Dangerous Type в VibeThemes WPLMS позволяет загрузить веб-оболочку на веб-сервер. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.3.
CVE-2024-56048Уязвимость Missing Authorization в VibeThemes WPLMS позволяет получать доступ к функциональности, не ограниченной должным образом списками ACL. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.
CVE-2024-56047Уязвимость Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') в VibeThemes WPLMS позволяет использовать SQL-инъекцию. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.3.
CVE-2023-36690Уязвимость Cross-Site Request Forgery (CSRF) в теме VibeThemes WPLMS <= 4.900 версии.
CVE-2023-22672Уязвимость межсайтовой подделки запросов (CSRF) в Mr.Vibe vSlider Multi Image Slider для плагина WordPress <= 4.1.2 версий.
CVE-2015-10139Тема WPLMS для WordPress уязвима к повышению привилегий в версиях от 1.5.2 до 1.8.4.1 через действие AJAX 'wp_ajax_import_data'. Это позволяет аутентифицированным злоумышленникам изменять иначе ограниченные настройки и потенциально создавать новую доступную учетную запись администратора. Атакующий может изменить адрес электронной почты администратора, повторно включить регистрацию пользователей и установить роль по умолчанию как администратор, что позволяет создать новую учетную запись с правами администратора через стандартную страницу регистрации [1].
Источники:
- [1] https://www.wordfence.com/threat-intel/vulnerabilities/id/6e0e8f5f-8216-4276-a810-860f9b52c447?source=cve
- [2] https://packetstormsecurity.com/files/130291/
- [3] https://www.rapid7.com/db/modules/auxiliary/admin/http/wp_wplms_privilege_escalation/
- [4] https://twitter.com/_wpscan_/status/564874637679820800?lang=ca
- [5] https://wpscan.com/vulnerability/7785
CVE-2025-69097Неправильное ограничение патового имени в уязвимости ограниченного каталога («Путь прохождения») в VibeThemes WPLMS wplms_plugin позволяет Path Traversal.Эта проблема затрагивает WPLMS: от n/a до <= 1.9.9.5.4.
CVE-2024-56049Уязвимость Path Traversal: '.../...//' в VibeThemes WPLMS позволяет осуществить обход каталогов. Эта проблема затрагивает WPLMS: от n/a до 1.9.9.5.2.
CVE-2025-49925Уязвимость отсутствующей авторизации в плагине VibeThemes WPLMS (wplms_plugin) позволяет получить доступ к функциям, не ограниченным списками контроля доступа (ACL). Проблема затрагивает версии WPLMS от любой до 1.9.9.7 включительно. По данным источника [1], уязвимость классифицируется как высокоопасная, однако имеет низкую степень влияния.
Источники:
- [1] https://vdp.patchstack.com/database/Wordpress/Plugin/wplms_plugin/vulnerability/wordpress-wplms-plugin-1-9-9-7-broken-access-control-vulnerability
CVE-2025-53420В плагине WPLMS (v ≤ 1.9.9.8) обнаружена уязвимость Reflected XSS, позволяющая выполнить произвольный JavaScript‑код через недостаточную фильтрацию пользовательского ввода. Атакующий может внедрить скрипт в параметры shortcode и заставить его выполнить на стороне клиента, что приводит к кражe данных или вредоносным действиям. По оценке PatchStack уязвимость считается высокоопасной, но её степень воздействия низкая.[1]
Источники:
- [1] https://vdp.patchstack.com/database/Wordpress/Plugin/wplms_plugin/vulnerability/wordpress-wplms-plugin-1-9-9-7-cross-site-scripting-xss-vulnerability