Podatności WP Project Manager

Podatność w wtyczce WP Project Manager w wersjach do 4.0.6 pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie obiektów PHP (PHP Object Injection).

Podatność Broken Access Control w WP Project Manager w wersjach do 4.0.7 pozwala subskrybentowi na nieautoryzowany dostęp do funkcji administracyjnych.

Wtyczka WP Project Manager od weDevs jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Podatność dotyczy wersji do 3.0.1 włącznie.

Wtyczka WP Project Manager dla WordPressa jest podatna na ataki SQL Injection oparte na czasie poprzez parametr 'completed_at_operator' we wszystkich wersjach do 2.6.26 włącznie. Problem wynika z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym na dołączanie dodatkowych zapytań SQL do istniejących, umożliwiając wyciągnięcie wrażliwych danych z bazy.

Wtyczka WP Project Manager dla WordPressa zawiera podatność polegającą na użyciu twardo zakodowanych poświadczeń, co umożliwia atakującemu odzyskanie wrażliwych danych osadzonych w aplikacji. Problem dotyczy wersji do 2.6.25 włącznie.