Katalog podatności CVE

Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo dla WordPressa we wszystkich wersjach do 14 włącznie jest podatna na brak autoryzacji. Wynika to z wadliwego sprawdzania uprawnień w callbacku uprawnień REST API, który zwraca true, gdy nie podano nonce. Umożliwia to nieuwierzytelnionym atakującym podszycie się pod dowolnego użytkownika WordPressa i wstrzyknięcie dowolnych wiadomości do dowolnej konwersacji zamówienia WooCommerce poprzez bezpośrednie wywołanie endpointu REST z kontrolowanymi parametrami user_id, order_id i context.

Wtyczka Chamber Dashboard Business Directory for WordPress (wersje do 3.3.11 włącznie) jest podatna na nieautoryzowany eksport danych z powodu braku sprawdzenia uprawnień w funkcji cdash_watch_for_export(). Nieuwierzytelnieni atakujący mogą wyeksportować informacje z katalogu firm, w tym wrażliwe dane biznesowe.

Wtyczka Ace Post Type Builder dla WordPressa jest podatna na nieautoryzowane usuwanie niestandardowych taksonomii z powodu braku walidacji autoryzacji w funkcji cptb_delete_custom_taxonomy() we wszystkich wersjach do 1.9 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Subscriber i wyższym usunięcie dowolnych niestandardowych taksonomii.

Wtyczka atec Duplicate Page & Post dla WordPressa jest podatna na nieautoryzowane duplikowanie postów z powodu braku walidacji autoryzacji w funkcji duplicate_post() we wszystkich wersjach do 1.2.20 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym duplikowanie dowolnych postów, w tym prywatnych i chronionych hasłem, co prowadzi do ujawnienia danych.

Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo (wersje do 14 włącznie) jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji get_order_by_id(). Nieuwierzytelnieni atakujący mogą wyświetlić szczegóły zamówień WooCommerce oraz prywatne wiadomości między klientami a administratorami, podając dowolny identyfikator zamówienia.

Wtyczka Social Images Widget dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'options_update' we wszystkich wersjach do 2.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym usunięcie ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do kliknięcia linku.

Wtyczka Bookme – Free Online Appointment Booking and Scheduling Plugin dla WordPress jest podatna na czasową iniekcję SQL poprzez parametr `filter[status]` we wszystkich wersjach do 4.2 włącznie. Wynika to z niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Job Board by BestWebSoft dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) we wszystkich wersjach do 1.2.1 włącznie. Wynika to z faktu, że wtyczka przechowuje całą niesanityzowaną tablicę superglobalną $_GET bezpośrednio w bazie danych poprzez update_user_meta(), gdy użytkownicy zapisują wyniki wyszukiwania, a następnie wyprowadza te dane bez odpowiedniego escapowania. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik uzyska dostęp do zapisanego wyszukiwania lub wyświetli swój profil, pod warunkiem że uda im się nakłonić użytkownika do wykonania wyszukiwania i zapisania wyników.

Wtyczka Frontend File Manager dla WordPressa (wersje do 23.4 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w punkcie końcowym REST API '/wpfm/v1/file-rename', ponieważ nie weryfikuje własności pliku przed przetworzeniem żądania zmiany nazwy. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może zmieniać nazwy plików przesłanych przez innych użytkowników za pomocą parametru 'fileid'.

Wtyczka AI Engine for WordPress: ChatGPT, GPT Content Generator jest podatna na arbitrary file read we wszystkich wersjach do 1.0.1 włącznie. Przyczyną jest niewystarczająca walidacja ścieżek plików w punkcie AJAX 'lqdai_update_post' oraz użycie file_get_contents() z URL-ami kontrolowanymi przez użytkownika bez ograniczeń protokołu w funkcji insert_image().

Wtyczka ProjectList dla WordPressa jest podatna na czasową iniekcję SQL poprzez parametr 'id' we wszystkich wersjach do 0.3.0 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami Edytora lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka Just Highlight dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienie 'Highlight Color' we wszystkich wersjach do 1.0.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi stronę ustawień wtyczki.

Wtyczka Inline frame – Iframe dla WordPressa (wszystkie wersje do 0.1 włącznie) jest podatna na przechowywany XSS poprzez shortcode 'embedsite' z powodu niewystarczającej sanityzacji i ucieczki atrybutów dostarczanych przez użytkownika. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty.

Wtyczka Refund Request for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'update_refund_status' we wszystkich wersjach do 1.0 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Subscriber i wyższym zmianę statusów zwrotów na zatwierdzone lub odrzucone.

Wtyczka Peer Publish dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.0 włącznie z powodu braku walidacji nonce na stronach zarządzania witryną. Umożliwia to nieuwierzytelnionym atakującym dodawanie, modyfikowanie lub usuwanie konfiguracji witryn poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Wtyczka Conditional Maintenance Mode for WordPress we wszystkich wersjach do 1.0.0 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce przy przełączaniu trybu konserwacji. Nieuwierzytelniony atakujący może włączyć lub wyłączyć tryb konserwacji witryny poprzez sfałszowane żądanie, jeśli nakłoni administratora do kliknięcia linku.

Wtyczka Locker Content dla WordPress w wersji 1.0.0 jest podatna na ujawnienie poufnych informacji poprzez endpoint AJAX 'lockerco_submit_post', co pozwala nieuwierzytelnionym atakującym wyodrębnić treść postów chronionych przez wtyczkę.

Wtyczka Autochat Automatic Conversation dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'wp_ajax_nopriv_auycht_saveCid' we wszystkich wersjach do 1.1.9 włącznie. Umożliwia to nieuwierzytelnionym atakującym łączenie i rozłączanie identyfikatora klienta.

Wtyczka Wishlist for WooCommerce dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 1.1.3 włącznie, poprzez kilka funkcji w pliku class-th-wishlist-frontend.php, z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym modyfikowanie list życzeń innych użytkowników.

Wtyczka Zweb Social Mobile – Ứng Dụng Nút Gọi Mobile dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametry 'vithanhlam_zsocial_save_messager', 'vithanhlam_zsocial_save_zalo', 'vithanhlam_zsocial_save_hotline' i 'vithanhlam_zsocial_save_contact' we wszystkich wersjach do 1.0.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu administratora wstrzyknięcie dowolnych skryptów do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.