Podatności GiveWP

Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce GiveWP. Dotyczy wersji od n/a do 4.16.8.1.

Wtyczka GiveWP w wersjach do 4.18.0 zawiera podatność braku autoryzacji. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Podatność Insecure Direct Object References (IDOR) w wtyczce GiveWP do wersji 4.16.9 włącznie. Niezautoryzowany użytkownik może uzyskać dostęp do obiektów bez logowania.

Podatność Sensitive Data Exposure w wtyczce GiveWP do wersji 4.16.9 włącznie. Użytkownik z rolą subskrybenta może uzyskać dostęp do poufnych danych.

Wtyczka GiveWP w wersjach do 4.16.9 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganego logowania znacząco zwiększa ryzyko eksploatacji.

Wtyczka GiveWP – Donation Plugin and Fundraising Platform dla WordPressa jest podatna na trwały atak XSS poprzez shortcode 'give_form' we wszystkich wersjach do 4.14.4 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów continue_button_title i display_style, które są przekazywane przez sanitize_text_field(), ale nie są poprawnie escapowane przy wyjściu w atrybutach danych HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Podatność nieprawidłowej walidacji niebezpiecznej równoważności w wejściu w wtyczce GiveWP firmy Liquid Web / StellarWP umożliwia ominięcie uwierzytelniania. Problem dotyczy wersji od n/a do 4.16.9.

Podatność na deserializację niezaufanych danych w Liquid Web / StellarWP GiveWP umożliwia wstrzyknięcie obiektu. Problem dotyczy GiveWP od wersji n/a do 4.16.7.1.

W wtyczce GiveWP w wersjach do 4.19.0.1 występuje nieuwierzytelnione naruszenie kontroli dostępu (Broken Access Control).

Podatność Unauthenticated Cross Site Scripting (XSS) w GiveWP do wersji 4.17.0 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie złośliwego skryptu do stron wyświetlanych innym użytkownikom.

Wtyczka GiveWP w wersjach do 4.17.0 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać nieuwierzytelniony atakujący.

Podatność typu Stored XSS w wtyczce GiveWP do wersji 4.17.0. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce administratora.

Wtyczka WordPress GiveWP w wersji przed 4.16.9 nie usuwa delimiterów shortcode'ów z wartości dostarczanych przez darczyńców przed wyrenderowaniem ich na publicznych stronach, a stosowane oczyszczanie shortcode'ów można obejść poprzez zagnieżdżenie. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.8.1 nie normalizuje w spójny sposób adresu e-mail darczyńcy między wartością przechowywaną a wartością używaną później do wyszukania darczyńcy. Umożliwia to niezalogowanym użytkownikom identyfikację jako dowolny darczyńca i ustawienie hasła WordPressa dowolnego konta użytkownika powiązanego z takim adresem, w tym administratora.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach do 4.16.5.1. Atak nie wymaga uwierzytelnienia.

Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce GiveWP w wersjach wcześniejszych niż 4.16.6. Atak nie wymaga uwierzytelnienia.

Podatność typu Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach starszych niż 4.16.6, dotycząca dawców.

Nieuwierzytelniona podatność Broken Access Control w wtyczce GiveWP w wersjach starszych niż 4.16.6.

Podatność Cross Site Scripting (XSS) w wtyczce GiveWP w wersjach do 4.16.5, umożliwiająca nieuwierzytelnionemu atakującemu wstrzyknięcie złośliwego skryptu do stron.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nieprawidłowo ogranicza dostęp do punktu końcowego REST API, który zwraca rekordy cyklicznych darowizn. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie informacji o anonimowych cyklicznych darczyńcach, w tym ich nazwisk i szczegółów subskrypcji.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie ogranicza zestawu dostępnych bramek płatności do tych włączonych przez administratora, czerpiąc go częściowo z danych wejściowych żądania. Umożliwia to nieuwierzytelnionym użytkownikom finalizowanie darowizn za pomocą bramki płatności, którą administrator wyłączył.

Podatność XSS (Cross Site Scripting) w wtyczce GiveWP do wersji 4.16.3. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.

Wtyczka GiveWP w wersji 4.16.3 i starszych jest podatna na nieuwierzytelnione Cross Site Request Forgery (CSRF). Atakujący może nakłonić administratora do wykonania niechcianych działań.

Wtyczka GiveWP do WordPressa jest podatna na trwałe ataki XSS przez ustawienie szablonu Sequoia 'twitter_message'. Luka występuje we wszystkich wersjach do 4.16.3 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych.

Wtyczka GiveWP dla WordPressa jest podatna na trwałe ataki XSS poprzez parametr 'sequoia[introduction][image]' w wersjach do 4.16.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i wyjściowych.

Wtyczka GiveWP dla WordPressa do 4.16.0 zawiera podatność na trwałe XSS przez atrybuty shortcode 'givewp_campaign_comments'. Atakujący z dostępem autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka GiveWP dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) w wersjach do 4.15.3 włącznie. Podatność wynika z braku walidacji tokena nonce w funkcji give_set_notification_status_handler(), co pozwala nieuwierzytelnionym atakującym na wyłączenie powiadomień e-mail o darowiznach poprzez sfałszowane żądanie.

W wersjach GiveWP <= 4.14.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

Wtyczka GiveWP dla WordPressa jest podatna na atak DOM-Based XSS z powodu nieprawidłowego neutralizowania danych wejściowych podczas generowania strony. Dotyczy wersji do 4.14.5.

Wtyczka GiveWP firmy StellarWP zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji GiveWP do 4.14.5 włącznie.

Podatność CSRF w wtyczce GiveWP do WordPressa umożliwia atakującemu wykonanie nieautoryzowanych żądań w imieniu zalogowanego użytkownika. Dotyczy wersji do 4.13.1 włącznie.

Wtyczka GiveWP firmy Liquid Web / StellarWP zawiera podatność nieprawidłowej kontroli generowania kodu (Code Injection) do wersji 4.13.1 włącznie. Podatność umożliwia wstrzyknięcie kodu.

Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji registerAssociateFormsWithCampaign we wszystkich wersjach do 4.10.0 włącznie. Umożliwia to nieuwierzytelnionym atakującym powiązanie dowolnych formularzy darowizn z dowolną kampanią.

Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPress jest podatna na ujawnienie informacji we wszystkich wersjach do 4.10.0 włącznie przez funkcje 'registerGetForm', 'registerGetForms', 'registerGetCampaign' i 'registerGetCampaigns' z powodu braku sprawdzenia uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie danych z prywatnych i roboczych formularzy darowizn oraz zarchiwizowanych kampanii.