Katalog podatności CVE

Wtyczka ThirstyAffiliates dla WordPressa w wersjach do 3.12.1 włącznie jest podatna na przechowywany XSS przez parametr 'comment'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Shipping Zones by Drawing for WooCommerce w wersjach do 3.3.0 włącznie jest podatna na przechowywany XSS przez parametr 'szbd-picked' przy kasie. Nieuwierzytelniony atakujący może wstrzyknąć dowolne atrybuty do linku Google Maps w widoku zamówienia administratora, które wykonają się, gdy administrator otworzy zamówienie.

Wtyczka Welcart e-Commerce dla WordPressa w wersjach do 2.12.5 włącznie jest podatna na przechowywany XSS przez parametr 'gid'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy administrator otworzy zamówienie w panelu WordPressa.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na przechowywany XSS przez parametr 'optionals'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'degreetitle' w wersjach do 2.7.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Relevanssi dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.28.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego indeksowania i podświetlania komentarzy oraz wejścia przez link z wyników wyszukiwania z parametrem podświetlenia.

Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to wcześniej aktywnej licencji Pro z włączonym buforowaniem REST, która stała się nieaktywna, ale buforowanie stron Disk Enhanced pozostaje skonfigurowane, oraz atakujący musi mieć wcześniej zatwierdzoną tożsamość komentatora.

Wtyczka Webmention dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez tag meta Open Graph og:title źródłowego URL webmention w wersjach do 5.10.1 włącznie. Z powodu niewystarczającej sanityzacji danych wejściowych, nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się po zatwierdzeniu przez administratora oczekującego komentarza webmention.

Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na nieautoryzowane usuwanie plików z biblioteki mediów w wersjach do 1.2.31 włącznie. Funkcja delete_reviews_image() ufa identyfikatorom załączników dostarczonym przez parametr POST wcpr_image_upload_id, które są przechowywane w metadanych komentarza bez sprawdzenia własności lub uprawnień, co pozwala nieuwierzytelnionemu atakującemu na trwałe usunięcie dowolnego załącznika.

Wtyczka Hustle dla WordPressa jest podatna na obejście autoryzacji w wersjach do 7.8.14.3 włącznie. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z niestandardowym poziomem dostępu może nadpisać dane uwierzytelniające integracji ESP (AWeber, Constant Contact, Infusionsoft, ConvertKit, HubSpot) i przekierować zgłoszenia formularzy do swojego tenanta, a w przypadku HubSpot usunąć tokeny OAuth.

Wtyczka PDF Invoice for WooCommerce + Drag and Drop Template Builder w wersjach do 7.1.1 włącznie jest podatna na wstrzyknięcie obiektu PHP przez parametr 'customer_note'. Pole uwag klienta przy kasie jest niewystarczająco oczyszczane i trafia do unserialize() bez walidacji, co pozwala nieuwierzytelnionemu atakującemu na wykonanie kodu na serwerze.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na ujawnienie poufnych informacji w wersjach do 5.16.5 włącznie poprzez parametr 'invoice_number' (poprzez nazwę pliku dokumentu). Nieuwierzytelniony atakujący może uzyskać pełny plik PDF faktury innego klienta, zawierający dane rozliczeniowe, adres wysyłki, prywatne notatki do zamówienia, pozycje, ceny, daty, ID zamówienia i numer faktury, dostarczony bezpośrednio na e-mail atakującego jako załącznik potwierdzenia zamówienia.

Wtyczka Discussion Board – WordPress Forum Plugin jest podatna na przechowywany Cross-Site Scripting (XSS) w wersjach do 2.6.0 włącznie poprzez pole Website (user_url) w profilu użytkownika. Z powodu niewystarczającego escapowania danych wyjściowych w funkcji ctdb_filter_comment_author_name(), uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi temat zawierający odpowiedź atakującego.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.

Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.

Wtyczka WordPress Payable Payment Gateway for WooCommerce w wersji przed 1.3.1 nie weryfikuje autentyczności przychodzącego powiadomienia o płatności przed oznaczeniem zamówienia WooCommerce jako opłaconego lub nieudanego. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu płatności dowolnego zamówienia w sklepie, niezależnie od metody płatności.

Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa w wersjach do 2.20.4 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji '__construct'. Umożliwia to nieuwierzytelnionym atakującym usunięcie plików motywu na serwerze.

Wtyczka WordPress Quick Event Manager w wersji przed 9.19 nie weryfikuje statusu ani typu żądanego wpisu przed zwróceniem jego szczegółów przez eksport kalendarza. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści wersji roboczych i prywatnych wpisów.