Katalog podatności CVE

Wtyczka BEAR – Bulk Editor and Products Manager Professional for WooCommerce by Pluginus.Net dla WordPressa we wszystkich wersjach do 1.1.5 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji woobe_delete_tax_term(). Umożliwia to nieuwierzytelnionym atakującym usunięcie terminów taksonomii WooCommerce (kategorie, tagi itp.) za pomocą sfałszowanego żądania, pod warunkiem że nakłonią administratora witryny lub menedżera sklepu do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka BEAR – Bulk Editor and Products Manager Professional dla WordPressa do wersji 1.1.5 jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji woobe_redraw_table_row(). Niezalogowany atakujący może nakłonić administratora lub menedżera sklepu do kliknięcia w link, co pozwoli na aktualizację danych produktów WooCommerce, takich jak ceny i opisy.

Wtyczka WP Visitor Statistics (Real Time Traffic) dla WordPressa jest podatna na trwałe ataki XSS poprzez shortcode 'wsm_showDayStatsGraph' we wszystkich wersjach do 8.4 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.

Wtyczka pdfl.io dla WordPress do wersji 1.0.5 zawiera podatność na Stored XSS przez atrybut 'text' shortcode'u 'pdflio'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.

Wtyczka PrivateContent Free dla WordPressa we wszystkich wersjach do 1.2.0 włącznie posiada podatność na Stored XSS poprzez atrybut 'align' w shortcode [pc-login-form]. Atrybut nie jest odpowiednio oczyszczany ani kodowany, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym na wstrzyknięcie dowolnych skryptów.

Wtyczka Flipmart dla WordPress (wersje do 2.8) ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka AnyTrack Affiliate Link Manager dla WordPressa do wersji 1.5.5 ma podatność brakującej autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji w motywie G5Plus April (g5plus-april) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 6.8 włącznie.

Wtyczka Mailercloud dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.0.7 włącznie.

Wtyczka tagDiv Composer (td-composer) dla WordPressa w wersjach do 5.4.3 włącznie zawiera podatność na podstawowy atak XSS (Basic XSS) poprzez niewłaściwą neutralizację skryptowych tagów HTML. Umożliwia to wstrzyknięcie kodu.

Wtyczka RT-Theme 18 | Extensions (rt18-extensions) dla WordPressa do wersji 2.5 włącznie umożliwia wstawianie wrażliwych danych do wysyłanych informacji. Atakujący może odczytać osadzone dane wrażliwe.

Podatność CSRF we wtyczce RT-Theme 18 | Extensions (rt18-extensions) w wersjach do 2.5 włącznie. Umożliwia atak CSRF.

Wtyczka The Tribal dla WordPressa umożliwia wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych. Podatność dotyczy wersji do 1.3.4 włącznie.

Wtyczka UiCore Elements (wersje do 1.3.17 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.

Rozszerzenie Accept PayPal Payments using Contact Form 7 dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 4.0.4 włącznie.

Brak autoryzacji we wtyczce Make My Trivia umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji do 1.1.0 włącznie.

Wtyczka MIPL WC Multisite Sync dla WordPressa do wersji 1.4.4 ma podatność brakującej autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji we wtyczce Precious Metals Automated Product Pricing – Pro umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji do 4.0.5 włącznie.

Wtyczka WPBITS Addons For Elementor Page Builder dla WordPressa (wersje do 1.8.1 włącznie) zawiera podatność na Stored Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.