Katalog podatności CVE

Wtyczka Post Expirator dla WordPressa do wersji 4.9.4 włącznie zawiera podatność na DOM-based XSS. Niezabezpieczone dane wejściowe podczas generowania strony umożliwiają atakującemu wstrzyknięcie złośliwego skryptu w kontekście DOM.

Wtyczka CartFlows dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 2.2.3 włącznie.

Wtyczka User Feedback dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.10.1 włącznie.

Wtyczka Simple History dla WordPressa wysyła wrażliwe informacje w danych transmisji. Podatność umożliwia odczytanie osadzonych danych wrażliwych.

Wtyczka PageLayer dla WordPressa do wersji 2.0.8 ma podatność ujawnienia wrażliwych informacji systemowych, która umożliwia odzyskanie osadzonych danych wrażliwych.

Wtyczka Coming Soon Page, Under Construction & Maintenance Mode by SeedProd dla WordPressa jest podatna na atak SSRF (Server-Side Request Forgery).

Wtyczka Magic Conversation For Gravity Forms dla WordPress do wersji 3.0.97 zawiera podatność na trwałe XSS przez shortcode 'magic-conversation' z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjściowego atrybutów. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzyknąć dowolne skrypty.

Wtyczka Element Pack Addons for Elementor dla WordPressa (do wersji 8.4.2) jest podatna na Stored Cross-Site Scripting (XSS) przez widget SVG Image. Funkcja render_svg() pobiera treść SVG z zdalnych URL-i bez odpowiedniej sanityzacji, co pozwala uwierzytelnionym atakującym (od poziomu Contributor) na wstrzyknięcie dowolnego JavaScriptu w plikach SVG.

Wtyczka Awesome Support dla WordPressa do wersji 6.3.7 zawiera podatność na Insecure Direct Object Reference. Funkcja wpas_get_ticket_replies_ajax() nie sprawdza, czy uwierzytelniony użytkownik ma uprawnienia do przeglądania konkretnego zgłoszenia, co pozwala atakującym z dostępem subskrybenta lub wyższym na dostęp do wrażliwych informacji ze wszystkich zgłoszeń.

Brak autoryzacji w pluginie Blog2Social dla WordPressa (do wersji 8.8.3). Uwierzytelnieni atakujący z dostępem Subscriber mogą modyfikować, przeplanowywać lub usuwać zaplanowane posty innych użytkowników poprzez manipulację parametrem b2s_id.

Wtyczka WowPress dla WordPressa do wersji 1.0.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty shortcode'u. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym wejściu na zainfekowaną stronę.

Wtyczka Wavr dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode `wave`. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Podatność na Stored Cross-Site Scripting we wtyczce Inquiry Form to Posts or Pages dla WordPressa w wersjach do 1.0 włącznie. Pole 'Form Header' jest niewystarczająco sanityzowane podczas zapisu i nie jest odpowiednio kodowane przy wyświetlaniu. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć dowolne skrypty, które wykonają się na stronie ustawień wtyczki lub na stronach z shortcodem [inquiry_form].

Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.

Wtyczka Sports Club Management dla WordPress do wersji 1.12.9 zawiera podatność na przechowywany XSS przez atrybuty 'before' i 'after' shortcode'a scm_member_data. Uwierzytelnieni atakujący z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Quran Translations dla WordPressa do wersji 1.7 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brak weryfikacji nonce w funkcji quran_playlist_options() umożliwia nieuwierzytelnionemu atakującemu modyfikację ustawień wtyczki poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.

Wtyczka Attendance Manager dla WordPress do wersji 0.6.2 jest podatna na iniekcję SQL przez parametr 'attmgr_off'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą dołączać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy.

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 zawiera podatność na Stored XSS przez atrybut 'id' shortcode'u '[print_clmns]'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów, pod warunkiem istnienia co najmniej jednej kolumny utworzonej przez administratora.

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 udostępnia endpoint REST API '/wp-json/InkXEProductDesignerLite/orders' bez autoryzacji, co pozwala nieuwierzytelnionym atakującym na wyodrębnienie wrażliwych danych klientów i zamówień z WooCommerce, w tym imion, nazwisk, identyfikatorów, kwot i statusów zamówień.

Wtyczka WP Blockade dla WordPressa do wersji 0.9.14 włącznie ma brak autoryzacji w funkcji render_shortcode_preview(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych shortcodów WordPressa.