Katalog podatności CVE

Wtyczka Page Builder by SiteOrigin dla WordPressa do wersji 2.34.3 zawiera podatność na trwałe ataki XSS przez parametr panels_data. Brak odpowiedniej sanitizacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Motyw Spexo dla WordPressa jest podatny na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w funkcji activate_plugin. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym aktywowanie ograniczonego zestawu wtyczek.

Wtyczka WP Full Stripe Free dla WordPressa do wersji 8.4.3 włącznie zawiera brak autoryzacji w akcji AJAX wpfs_update_failed_payment_status. Niezautoryzowani atakujący, znając poprawny identyfikator płatności Stripe, mogą manipulować rekordami płatności w bazie danych, oznaczając udane płatności jako nieudane i nadpisując kody błędów.

Wtyczka Gutenverse dla WordPressa jest podatna na trwałe ataki XSS poprzez ustawienia administratora. Luka występuje we wszystkich wersjach do 3.8.0 włącznie z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych.

Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.

Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.

Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.1 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie studenta lub wyższym mogą modyfikować treść ogłoszeń kursów utworzonych przez instruktorów lub administratorów.

Wtyczka Surbma | Infusionsoft Shortcode dla WordPressa zawiera podatność na trwałe ataki XSS w wersjach do 2.0.1 włącznie. Problem wynika z braku odpowiedniej sanitacji i kodowania wyjścia dla atrybutów 'account' i 'id' w shortcode'ie 'infusionsoft-form', które są bezpośrednio łączone z atrybutem src tagu <script>. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Product Specifications for WooCommerce dla WordPressa w wersjach do 0.8.9 zawiera podatność umożliwiającą nieautoryzowaną modyfikację, tworzenie i usuwanie danych. Brakuje w niej sprawdzenia uprawnień oraz weryfikacji nonce w metodach __invoke() klas AttributeGroupController i AttributeController, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na manipulowanie grupami i atrybutami specyfikacji produktów.

Wtyczka Shariff for WordPress do wersji 1.0.11 nie oczyszcza ani nie koduje ustawienia shariff_infourl przed wyświetleniem go w kodzie HTML frontendu za pomocą funkcji generateshariff(). Umożliwia to użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy możliwość unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wtyczka MaxButtons dla WordPressa do wersji 9.8.5 włącznie zawiera podatność na odbite ataki XSS przez parametr 'view'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia atakującym wstrzyknięcie dowolnego kodu JavaScript.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.

Wtyczka HD Quiz dla WordPressa w wersjach od 2.2.0 do 2.2.1 jest podatna na ataki Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji tokena nonce w funkcji hdq_validate_nonce. Niezautoryzowany atakujący może wykorzystać tę lukę do usuwania lub modyfikowania quizów i pytań, tworzenia nowych quizów oraz zmiany ustawień wtyczki, pod warunkiem że nakłoni administratora witryny do wykonania akcji, np. kliknięcia w link.

Wtyczka Post Map for Google Maps dla WordPressa do wersji 1.2.6 włącznie zawiera podatność na trwałe ataki XSS poprzez pole 'cpm_point' Post Meta. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Groundhogg dla WordPressa (wersje do 4.5.5) zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'query[select]'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie przedstawiciela handlowego lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka Groundhogg dla WordPressa (CRM, newslettery i automatyzacja marketingu) w wersjach do 4.5.5 włącznie zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'search'. Problem wynika z niedostatecznego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytań SQL.

Wtyczka Ivory Search dla WordPressa do wersji 5.5.15 włącznie jest podatna na trwałe ataki XSS przez parametry 'menu_title' i 'menu_magnifier_color'. Luka wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Podatność w HCL Traveler for Microsoft Outlook (HTMO) umożliwia nieautoryzowany dostęp do wrażliwych danych aplikacji, co może zostać wykorzystane przez atakującego do przeprowadzenia dalszych ataków i wywołania nieprzewidzianego zachowania aplikacji.

W Kestra przed wersjami 1.0.45 i 1.3.21 endpoint previewFileFromExecution (GET /api/v1/{tenant}/executions/{executionId}/file/preview) zawiera obejście kontroli dostępu, umożliwiając każdemu uwierzytelnionemu użytkownikowi odczyt plików wyjściowych z dowolnego wykonania w obrębie tego samego dzierżawcy, z pominięciem izolacji na poziomie wykonania i przestrzeni nazw.

W systemie Koha Library Management System w wersjach od 0 do 25.11 wykryto podatność na trwały atak XSS. Umożliwia ona uwierzytelnionemu zdalnemu atakującemu z uprawnieniami administratora wstrzyknięcie dowolnego skryptu przez pole komunikatu przy odbiorze typu egzemplarza.