CVE-2026-103997

Redux Framework firmy David Anderson ma brakującą autoryzację, co pozwala na wydobycie wrażliwych danych osadzonych w pamięci podręcznej. Problem dotyczy wersji do 4.5.16 włącznie.

Wtyczka Redux Framework dla WordPressa (wszystkie wersje do 4.5.11 włącznie) jest podatna na eskalację uprawnień. Wynika to z zapisywania dowolnych kluczy meta pod zarejestrowaną nazwą opcji bez wystarczających kontroli uprawnień lub ograniczeń listy dozwolonych kluczy, co pozwala uwierzytelnionym atakującym z poziomem Subscriber i wyższym ustawić dowolną rolę (np. Administratora) podczas aktualizacji profilu, jeśli wtyczka lub motyw korzystający z tego frameworka dodał co najmniej jedno pole profilu użytkownika wykorzystujące Redux_Users::set_profile/set_section/set_field.

Wtyczka Redux Framework dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) przez User Meta Merge w polu 'user-mediaurl' Media Field we wszystkich wersjach do 4.5.14 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta, którzy mogą przechowywać payload w polach meta użytkownika, takich jak biografia, session_tokens (poprzez spreparowany User-Agent przy logowaniu) lub persisted_preferences (poprzez REST API), które są następnie promowane do ogólnoserwisowej opcji redux_demo, gdy naprawa URL mediów jest wyzwalana na panelu demo.

Wtyczka Redux Framework dla WordPressa jest podatna na przechowywany atak XSS poprzez pole spinner w wersjach do 4.5.13 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. W funkcji user_meta_save() wartości skalarne omijają logikę sanityzacji, która przetwarza tylko tablice, co pozwala na zapisanie wartości pola spinner w metadanych użytkownika bez odpowiedniej sanityzacji. Następnie wartość jest renderowana w niecytowanym atrybucie HTML bez escapingu, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów.

Wtyczka Redux Framework dla WordPressa w wersjach do 4.5.13 włącznie jest podatna na przechowywane skrypty cross-site (Stored XSS) poprzez wartości filtrów pola Media z powodu niewystarczającej sanityzacji danych wejściowych w funkcji user_meta_save() i niebezpiecznego wyjścia wartości CSS filtrów w funkcji render() bez odpowiedniego escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Redux Framework dla WordPress w wersjach do 4.5.13.1 włącznie jest podatna na trwałe cross-site scripting poprzez pole Slider w ustawieniach profilu użytkownika. Wynika to z niewystarczającej sanityzacji danych wejściowych w funkcji user_meta_save() oraz nieprawidłowego escapowania danych wyjściowych w metodzie Redux_Slider::render(). Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może wstrzyknąć dowolne skrypty do swojego profilu, które wykonają się, gdy administrator wyświetli profil atakującego.

Wtyczka Redux Framework dla WordPress przed wersją 4.5.13 nie ogranicza, które klucze meta użytkownika mogą być zapisywane podczas zapisywania niestandardowych pól profilu. Umożliwia to użytkownikom z rolą co najmniej Subskrybenta eskalację uprawnień do Administratora poprzez przesłanie spreparowanej wartości podczas aktualizacji własnego profilu, na stronach gdzie włączona jest funkcja profilu użytkownika (rozszerzenie Users) wtyczki Redux Framework przed wersją 4.5.13.

Wtyczka Redux Framework dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'data' we wszystkich wersjach do 4.5.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escape'owania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.