CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 1CVE-2021-24635 – Visual Link Preview < 2.2.3 - Unauthorised AJAX Calls
https://notcve.org/view.php?id=CVE-2021-24635
The Visual Link Preview WordPress plugin before 2.2.3 does not enforce authorisation on several AJAX actions and has the CSRF nonce displayed for all authenticated users, allowing any authenticated user (such as subscriber) to call them and 1) Get and search through title and content of Draft post, 2) Get title of a password-protected post as well as 3) Upload an image from an URL El plugin Visual Link Preview de WordPress versiones anteriores a 2.2.3, no impone una autorización en varias acciones AJAX y presenta el CSRF nonce mostrado para todos los usuarios autenticados, permitiendo a cualquier usuario autenticado (como el suscriptor) llamarlos y 1) Conseguir y buscar mediante el título y el contenido del Borrador de la entrada, 2) conseguir el título de una entrada protegida por contraseña, así como 3) Cargar una imagen desde una URL • https://wpscan.com/vulnerability/854b23d9-e3f8-4835-8d29-140c580f11c9 • CWE-284: Improper Access Control CWE-862: Missing Authorization •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2019-15836 – WP Ultimate Recipe < 3.12.7 - Stored Cross-Site Scripting
https://notcve.org/view.php?id=CVE-2019-15836
The wp-ultimate-recipe plugin before 3.12.7 for WordPress has stored XSS. El Plugin wp-ultimate-recipe versión anterior de 3.12.7 for WordPress ha almacenado XSS. • https://wordpress.org/plugins/wp-ultimate-recipe/#developers https://wpvulndb.com/vulnerabilities/9394 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •