Podatności Visualizer

Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.

Wtyczka Visualizer dla WordPressa w wersjach przed 4.0.6 nieprawidłowo autoryzuje dostęp do działań związanych z budowaniem wykresów. Umożliwia to użytkownikom z rolą Contributor i wyższą publikowanie, zmianę nazw i nadpisywanie treści wpisów i stron, których nie są właścicielami, w tym prywatnych szkiców innych użytkowników.

Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.

Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.

Wtyczka WordPress Visualizer przed wersją 4.0.0 zawiera podatność na trwałe XSS (Stored Cross-Site Scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Visualizer: Tables and Charts Manager dla WordPressa w wersjach do 3.11.12 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'query' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą dołączać dodatkowe zapytania SQL i wyodrębniać poufne informacje z bazy danych. Wersja 3.11.13 podnosi minimalny poziom uprawnień do administratora, a 3.11.14 całkowicie naprawia podatność.