Katalog podatności CVE

Wtyczka WP Directory Kit dla WordPressa (do wersji 1.6.0) jest podatna na ogólną iniekcję SQL poprzez parametr 'idfield' z powodu niewystarczającego escapowania danych wejściowych użytkownika i braku odpowiedniego przygotowania zapytania SQL. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka WP Activity Log dla WordPressa (wersje do 5.6.1) jest podatna na przechowywany cross-site scripting (Stored XSS) z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.

W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.

W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.

W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.

Wtyczka FeedWordPress dla WordPressa (wersje do 2026.0517) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez treść syndykowanych kanałów RSS/Atom. Funkcja SyndicatedPost::sanitize_content() usuwa jedynie atrybut 'target', a SyndicatedPost::insert_post() celowo usuwa filtry wp_filter_kses i wp_filter_post_kses przed zapisaniem importowanych elementów kanału. To pozwala nieuwierzytelnionym atakującym kontrolującym zewnętrzny kanał, do którego witryna już subskrybuje, wstrzykiwać dowolne skrypty internetowe do stron.

Wtyczka User Frontend dla WordPressa (do wersji 4.3.13) jest podatna na eskalację uprawnień poprzez parametr 'post_content' w funkcji submit_post(). Luka pozwala na wstrzyknięcie bajtu kontrolnego w nazwie shortcode, aby ominąć blokadę i zapisać działający shortcode rejestracji z rolą 'editor'. Umożliwia to uwierzytelnionym atakującym z poziomem Subskrybenta utworzenie konta z uprawnieniami Edytora.

Wtyczka Shield Security dla WordPressa (do wersji 22.3.2) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'REQUEST_URI'. Niedostateczna sanityzacja i escapowanie danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Ukryta kolumna 'path' w ForTraffic.php nie jest escapowana, co umożliwia atak.

Wtyczka WPO365 | MICROSOFT 365 GRAPH MAILER dla WordPressa (do wersji 6.2) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'Subject' (temat wiadomości e-mail). Niedostateczna sanityzacja i escapowanie danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Ładunek jest przechowywany bez uwierzytelnienia za pomocą dowolnej funkcji wysyłającej e-maile, gdy Graph Mailer jest włączony, ale autoryzacja OAuth nie została ukończona.

Wtyczka Rox Appointment Booking dla WordPressa (do wersji 1.3.1) jest podatna na eskalację uprawnień poprzez mass assignment. Publiczny endpoint REST pozwala nieuwierzytelnionemu atakującemu na zapisanie dowolnego identyfikatora użytkownika WordPressa (wp_user_id) wraz z kontrolowanym adresem e-mail. Gdy administrator otworzy i zapisze rekord klienta, adres e-mail administratora zostaje nadpisany, co umożliwia przejęcie konta.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa (do wersji 3.2.2) jest podatna na obejście uwierzytelniania. Callback REST logowania społecznościowego lokalizuje konto po adresie e-mail zwróconym przez dostawcę OAuth i ustawia ciasteczko uwierzytelniające bez sprawdzania hasła, a jedyny warunek weryfikacji jest nieskuteczny dla wbudowanych adapterów Facebook i Twitter. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie sesji dowolnego użytkownika, w tym administratora, jeśli kontroluje konto OAuth o pasującym adresie e-mail.

Wtyczka Mail logging & Catcher dla WordPressa w wersjach do 2.2.0 włącznie pozwala na ujawnienie wrażliwych informacji przez parametr 'message'. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może wyciągnąć z zapisanych logów e-mail klucze resetowania hasła administratora i przejąć konto administratora.

Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.8.5.2 włącznie jest podatna na czasową iniekcję SQL przez parametr 'bwfan_cart_id'. Nieuwierzytelniony atakujący może wstrzyknąć dodatkowe zapytania SQL podczas składania zamówienia gościa, a iniekcja uruchamia się przy późniejszym zadaniu Action Scheduler.

Wtyczka User Submitted Posts dla WordPressa w wersjach do 20260916 włącznie jest podatna na przechowywany XSS oparty na DOM przez parametr 'user-submitted-content'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka ThirstyAffiliates dla WordPressa w wersjach do 3.12.1 włącznie jest podatna na przechowywany XSS przez parametr 'comment'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Shipping Zones by Drawing for WooCommerce w wersjach do 3.3.0 włącznie jest podatna na przechowywany XSS przez parametr 'szbd-picked' przy kasie. Nieuwierzytelniony atakujący może wstrzyknąć dowolne atrybuty do linku Google Maps w widoku zamówienia administratora, które wykonają się, gdy administrator otworzy zamówienie.

Wtyczka Welcart e-Commerce dla WordPressa w wersjach do 2.12.5 włącznie jest podatna na przechowywany XSS przez parametr 'gid'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy administrator otworzy zamówienie w panelu WordPressa.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na przechowywany XSS przez parametr 'optionals'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Relevanssi dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.28.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego indeksowania i podświetlania komentarzy oraz wejścia przez link z wyników wyszukiwania z parametrem podświetlenia.