Katalog podatności CVE

Wtyczka Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 11.1.4 włącznie. Podatność wynika z niewłaściwego weryfikowania uprawnień użytkownika przed wykonaniem akcji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na tworzenie, modyfikowanie i usuwanie szablonów wyników quizów w tabeli bazy danych mlw_quiz_output_templates, w tym przechowywanie niesanityzowanego kodu HTML, takiego jak dowolne znaczniki skryptów.

Wtyczka Frisbii Pay dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w funkcjach 'upload_csv' i 'process_batch' we wszystkich wersjach do 1.8.9 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym przesyłanie dowolnych danych CSV oraz nadpisywanie tokenów płatności WooCommerce, rekordów postmeta i meta zamówień.

Wtyczka Page Builder by SiteOrigin dla WordPressa do wersji 2.34.3 zawiera podatność na trwałe ataki XSS przez parametr panels_data. Brak odpowiedniej sanitizacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Motyw Spexo dla WordPressa jest podatny na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w funkcji activate_plugin. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym aktywowanie ograniczonego zestawu wtyczek.

Wtyczka WP Full Stripe Free dla WordPressa do wersji 8.4.3 włącznie zawiera brak autoryzacji w akcji AJAX wpfs_update_failed_payment_status. Niezautoryzowani atakujący, znając poprawny identyfikator płatności Stripe, mogą manipulować rekordami płatności w bazie danych, oznaczając udane płatności jako nieudane i nadpisując kody błędów.

Wtyczka Gutenverse dla WordPressa jest podatna na trwałe ataki XSS poprzez ustawienia administratora. Luka występuje we wszystkich wersjach do 3.8.0 włącznie z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych.

Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.

Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.

Wtyczka Masteriyo LMS dla WordPressa do wersji 2.2.1 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie studenta lub wyższym mogą modyfikować treść ogłoszeń kursów utworzonych przez instruktorów lub administratorów.

Wtyczka Surbma | Infusionsoft Shortcode dla WordPressa zawiera podatność na trwałe ataki XSS w wersjach do 2.0.1 włącznie. Problem wynika z braku odpowiedniej sanitacji i kodowania wyjścia dla atrybutów 'account' i 'id' w shortcode'ie 'infusionsoft-form', które są bezpośrednio łączone z atrybutem src tagu <script>. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Product Specifications for WooCommerce dla WordPressa w wersjach do 0.8.9 zawiera podatność umożliwiającą nieautoryzowaną modyfikację, tworzenie i usuwanie danych. Brakuje w niej sprawdzenia uprawnień oraz weryfikacji nonce w metodach __invoke() klas AttributeGroupController i AttributeController, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na manipulowanie grupami i atrybutami specyfikacji produktów.

Wtyczka Shariff for WordPress do wersji 1.0.11 nie oczyszcza ani nie koduje ustawienia shariff_infourl przed wyświetleniem go w kodzie HTML frontendu za pomocą funkcji generateshariff(). Umożliwia to użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy możliwość unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wtyczka MaxButtons dla WordPressa do wersji 9.8.5 włącznie zawiera podatność na odbite ataki XSS przez parametr 'view'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia atakującym wstrzyknięcie dowolnego kodu JavaScript.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.2 włącznie zawiera podatność na pominięcie autoryzacji. Niezalogowani atakujący mogą wyliczyć sekwencyjne identyfikatory raportów i pobrać pełne dane przesłanych formularzy, w tym nazwiska, adresy e-mail, numery telefonów, adresy pocztowe, dane płatności i ścieżki przesłanych plików.

Wtyczka Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content dla WordPress przed wersją 4.16.17 nie weryfikuje, czy użytkownik wykonujący akcję subskrypcji jest jej właścicielem. Umożliwia to każdemu uwierzytelnionemu użytkownikowi (od roli Subskrybent wzwyż) anulowanie aktywnych subskrypcji innych użytkowników poprzez niebezpieczne bezpośrednie odwołanie do obiektu (IDOR).

Wtyczka Invoice Generator dla WordPressa do wersji 1.0.0 włącznie zawiera lukę umożliwiającą eskalację uprawnień. Brak weryfikacji uprawnień w akcji AJAX pravel_invoice_edit_account() pozwala nieuwierzytelnionym atakującym na zmianę adresu e-mail dowolnego użytkownika, w tym administratora, a następnie wykorzystanie mechanizmu resetowania hasła do przejęcia konta.

Wtyczka HD Quiz dla WordPressa w wersjach od 2.2.0 do 2.2.1 jest podatna na ataki Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji tokena nonce w funkcji hdq_validate_nonce. Niezautoryzowany atakujący może wykorzystać tę lukę do usuwania lub modyfikowania quizów i pytań, tworzenia nowych quizów oraz zmiany ustawień wtyczki, pod warunkiem że nakłoni administratora witryny do wykonania akcji, np. kliknięcia w link.

Wtyczka Post Map for Google Maps dla WordPressa do wersji 1.2.6 włącznie zawiera podatność na trwałe ataki XSS poprzez pole 'cpm_point' Post Meta. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Groundhogg dla WordPressa (wersje do 4.5.5) zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'query[select]'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie przedstawiciela handlowego lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka Groundhogg dla WordPressa (CRM, newslettery i automatyzacja marketingu) w wersjach do 4.5.5 włącznie zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'search'. Problem wynika z niedostatecznego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytań SQL.