anchore_overrides,nvd
Wpo-hr
Уязвимости
4
Эксплуатируемые
0
Критический
1
Высокий
0
Топ продуктов
Топ уязвимостей
CVE-2025-52832Уязвимость неправильной нейтрализации специальных элементов, используемых в команде SQL ('SQL Injection') в wpo-HR NGG Smart Image Search позволяет выполнить SQL-инъекцию. Эта проблема затрагивает NGG Smart Image Search: с n/a до версии 3.4.1. Эта уязвимость высокоопасна и ожидается, что она будет массово эксплуатироваться. Оценка CVSS равна 9.3. Рекомендуется обновиться до версии 3.4.3 или позже. Источники:
- [1] https://patchstack.com/database/wordpress/plugin/ngg-smart-image-search/vulnerability/wordpress-ngg-smart-image-search-3-4-1-sql-injection-vulnerability?_s_id=cve
CVE-2025-58027Неправильная нейтрализация ввода во время уязвимости Web-Perage («Cross-site Scripting») в wpo-HR NGG Smart Image Search ngg-smart-image-search позволяет хранить XSS.Эта проблема влияет на поиск изображений NGG Smart: от n/a до <= 3.4.3.
CVE-2025-47503Уязвимость неправильной нейтрализации входных данных при генерации веб-страницы ('Cross-site Scripting') в плагине NGG Smart Image Search для WordPress позволяет осуществить Stored XSS. Эта проблема затрагивает NGG Smart Image Search версии до 3.3.3 включительно. Уязвимость позволяет злоумышленнику внедрять вредоносные скрипты, такие как перенаправления, рекламные объявления и другие HTML-вложения, которые будут выполнены при посещении сайта пользователями [1]. Оценка CVSS составляет 6.5, что указывает на низкую степень серьёзности. Для устранения уязвимости рекомендуется обновить плагин до версии 3.4.1 или позднее. Пользователи Patchstack могут включить автоматическое обновление для уязвимых плагинов.
Источники:
- [1] https://patchstack.com/database/wordpress/plugin/ngg-smart-image-search/vulnerability/wordpress-ngg-smart-image-search-3-3-3-cross-site-scripting-xss-vulnerability?_s_id=cve
CVE-2024-13658Плагин NGG Smart Image Search для WordPress уязвим к Stored Cross-Site Scripting через шорткод 'hr_SIS_nextgen_searchbox' во всех версиях до и включая 3.2.1 из-за недостаточной очистки входных данных и экранирования выходных данных на атрибутах, предоставляемых пользователем. Это делает возможным для аутентифицированных злоумышленников, с доступом уровня контрибьютора и выше, внедрять произвольные веб-скрипты в страницы, которые будут выполняться всякий раз, когда пользователь обращается к инжектированным страницам.