Katalog podatności CVE

Wtyczka WP TripAdvisor Review Slider dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'filtersource' we wszystkich wersjach do 14.6 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem administratora dołączanie dodatkowych zapytań SQL do istniejących.

Wtyczka WPBot – AI ChatBot dla WordPress w wersjach do 8.5.6 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może wywołać ponowne osadzenie przechowywanych dokumentów RAG, modyfikując tabelę rag_documents i zużywając płatne kredyty API właściciela witryny (OpenAI, Gemini, OpenRouter lub xAI).

Wtyczka Themify Builder dla WordPressa do wersji 7.7.7 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą nadpisywać lub usuwać pliki CSS generowane dla dowolnych postów, w tym prywatnych i szkiców innych użytkowników, a także modyfikować opcje czcionek w zakresie wtyczki. Nonce CSRF (tf_nonce) jest emitowany na publicznych stronach front-endowych, co ułatwia jego przechwycenie.

Wtyczka The Cache Purger dla WordPressa w wersjach do 2.3.20 włącznie zawiera lukę w autoryzacji, która pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym na trwałe usunięcie dziennika audytu czyszczenia pamięci podręcznej (wp-content/purge.log). Luka wynika z nieprawidłowego weryfikowania uprawnień użytkownika przed wykonaniem akcji.

Wtyczka SysBasics Customize My Account for WooCommerce – Live My Account Customizer dla WordPressa jest podatna na trwałe ataki XSS przez parametr 'row_type' w wersjach do 4.4.14 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka WPBot – AI ChatBot dla WordPress do wersji 8.5.6 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych rekordów sesji czatu z tabel bazy danych, w tym historii rozmów i logów konwersacji. Luka wynika z braku weryfikacji uprawnień użytkownika przed wykonaniem akcji.

Wtyczka Delicious Recipes dla WordPressa do wersji 1.10.2 zawiera podatność na trwałe ataki XSS przez atrybut bloku 'steps'. Problem wynika z braku odpowiedniej sanityzacji danych wejściowych i ucieczki wyjścia w funkcji wrap_direction_text(), która bezpośrednio interpoluje wartość href z zagnieżdżonych węzłów linków do znacznika kotwicy przez sprintf() bez użycia esc_url() ani walidacji schematu URL.

Wtyczka Tutor LMS dla WordPressa do wersji 4.0.0 włącznie zawiera podatność na wstrzykiwanie SQL drugiego rzędu. Autoryzowany atakujący z dostępem na poziomie „custom” lub wyższym może przechowywać złośliwe zapytanie SQL w odpowiedzi na quiz, które zostanie wykonane, gdy uprzywilejowany użytkownik lub posiadacz klucza REST API zażąda punktu końcowego /wp-json/tutor/v1/quiz-attempt-details/{id}.

Wtyczka wpForo Forum dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole profilu 'location' we wszystkich wersjach do 3.1.1 włącznie. Podatność wynika z niewystarczającej sanityzacji wejścia i braku kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na wstrzyknięcie dowolnych skryptów webowych.

Wtyczka Quiz Master Next dla WordPressa do wersji 11.2.0 włącznie zawiera podatność na wstrzykiwanie SQL przez przechowywane dane strony quizu. Problem wynika z niedostatecznego oczyszczania parametru 'pages' w funkcji qsm_ajax_save_pages() oraz braku przygotowania zapytania SQL w qsm_options_questions_tab_content(), co pozwala uwierzytelnionym atakującym z dostępem autora lub wyższym na wstrzyknięcie złośliwego kodu SQL.

Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez atrybut 'price_wrapper' shortcode'u. Podatność występuje we wszystkich wersjach do 3.6.0.0 włącznie z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia.

Wtyczka Tickera – Sell Tickets & Manage Events dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 's' we wszystkich wersjach do 3.6.0.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka FunnelKit dla WordPress przed wersją 3.15.0.6 nie waliduje ścieżki podanej przez użytkownika przed usunięciem pliku podczas importu szablonu. Umożliwia to użytkownikom z uprawnieniami administratora usuwanie dowolnych plików .json poza docelowym katalogiem poprzez manipulację ścieżką (path traversal), co może prowadzić do wyłączenia innych funkcji wtyczki (odmowa usługi).

Wtyczka Header Footer Builder dla Elementor w WordPressie przed wersją 1.2.1 nie wymaga uprawnień administracyjnych do importowania szablonów. Użytkownik z rolą Contributor może zaimportować szablon zawierający widżet HTML Elementora, który wykonuje JavaScript na stronie dla każdego odwiedzającego.

Wtyczka Customer Reviews for WooCommerce dla WordPress przed wersją 5.113.0 nie weryfikuje autoryzacji, uprawnień ani tokena nonce w jednej z akcji AJAX odpowiedzialnej za przesyłanie plików multimedialnych. Umożliwia to niezalogowanym użytkownikom przesyłanie plików (ograniczonych do dozwolonych obrazów i filmów) do biblioteki multimediów oraz tworzenie wpisów załączników, co prowadzi do zaśmiecania biblioteki i wyczerpania miejsca na dysku.

Wtyczka AI Engine dla WordPressa przed wersją 3.5.5 nie weryfikuje, czy użytkownik jest właścicielem rozmowy chatbota wskazanej przez identyfikator dostarczony przez klienta. Umożliwia to użytkownikom z dostępem na poziomie subskrybenta odczytywanie prywatnych rozmów innych użytkowników oraz przejmowanie ich rekordów rozmów, gdy funkcja dyskusji jest włączona.

Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nieprawidłowo oczyszcza i nie ucieka parametru przed użyciem go w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrowalnym) przeprowadzenie ataków SQL injection.

Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.

Wtyczka BetterDocs dla WordPressa przed wersją 4.5.5 nie oczyszcza podsumowania dokumentacji generowanego przez AI przed jego zapisaniem i wyświetleniem. Funkcja generująca to podsumowanie jest dostępna dla niezalogowanych użytkowników, co pozwala im na przechowywanie złośliwego ładunku poprzez wstrzyknięcie promptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym administratorów.

Wtyczka SEO Booster dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'sort_field' we wszystkich wersjach do 7.3.1 włącznie. Podatność wynika z niedostatecznego escapowania parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.