Katalog podatności CVE

Wtyczka WordPress "Social Media WPCF7 Stop Words" jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.1.3 włącznie. Brak lub nieprawidłowa walidacja nonce w funkcji smWpCfSwOptions() umożliwia nieuwierzytelnionym atakującym aktualizację ustawień wtyczki i wstrzyknięcie złośliwych skryptów.

Wtyczka Top Bar Notification dla WordPress jest podatna na cross-site request forgery we wszystkich wersjach do 1.12 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji tbn_ajax_add(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki i wstrzyknięcie złośliwych skryptów internetowych za pomocą sfałszowanego żądania, jeśli uda im się nakłonić administratora witryny do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka SH Contextual Help dla WordPressa we wszystkich wersjach do 3.2.1 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji sh_contextual_help_dashboard_widget(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki i wstrzyknięcie złośliwych skryptów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Associados Amazon Plugin dla WordPressa we wszystkich wersjach do 0.8 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji brzon_admin_panel(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień i wstrzyknięcie złośliwych skryptów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka LinkedIn Resume dla WordPressa we wszystkich wersjach do 2.00 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji linkedinresume_printAdminPage(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień i wstrzyknięcie złośliwych skryptów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka LMB^Box Smileys dla WordPressa we wszystkich wersjach do 3.2 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji manage_page(). Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień i wstrzyknięcie złośliwych skryptów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka clubmember dla WordPress jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 0.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Podatność dotyczy tylko instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka Free Quotation dla WordPress jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 3.1.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Podatność dotyczy tylko instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka Import Export For WooCommerce dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji update_setting() we wszystkich wersjach do 1.6.2 włącznie. Uwierzytelnieni atakujący z poziomem Subscriber i wyższym mogą zaktualizować ustawienia wtyczki.

Wtyczka Nari Accountant dla WordPress jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienia konta we wszystkich wersjach do 1.0.12 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Podatność dotyczy tylko instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka Extensions for Leaflet Map dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez shortcode `geojsonmarker` we wszystkich wersjach do 4.7 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczanych przez użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka DominoKit dla WordPressa jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX `wp_ajax_nopriv_dominokit_option_admin_action` we wszystkich wersjach do 1.1.0 włącznie. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki.

Wtyczka WordPress "Posts Navigation Links for Sections and Headings – Free by WP Masters" jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.0.1 włącznie. Brak lub nieprawidłowa walidacja nonce na stronie 'wpm_navigation_links_settings' umożliwia nieuwierzytelnionym atakującym aktualizację ustawień wtyczki.

Wtyczka Simple User Capabilities dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w endpoincie AJAX 'wp_ajax_nopriv_reset_capability' we wszystkich wersjach do 1.0 włącznie. Umożliwia to nieuwierzytelnionym atakującym resetowanie uprawnień dowolnego użytkownika.

Wtyczka Ai Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT) All in One dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_post_data() w wersjach od 2.0.7 do 2.2.6. Uwierzytelnieni atakujący z poziomem Subscriber i wyższym mogą tworzyć i publikować dowolne wpisy.

Wtyczka WP Carticon dla WordPressa (wszystkie wersje do 1.0.0) jest podatna na Stored Cross-Site Scripting poprzez parametr 'carticon_js_script' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolne skrypty.

Wtyczka Reuse Builder dla WordPressa jest podatna na przechowywany XSS poprzez shortcode 'reuse_builder_single_post_title' we wszystkich wersjach do 1.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania atrybutu 'style'. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka All in One Time Clock Lite dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień we wszystkich wersjach do 2.0.3 włącznie. Wtyczka udostępnia akcje AJAX na poziomie administratora nieuwierzytelnionym użytkownikom poprzez hooki wp_ajax_nopriv_, opierając się tylko na sprawdzeniu nonce bez weryfikacji uprawnień. Umożliwia to nieuwierzytelnionym atakującym tworzenie opublikowanych stron, tworzenie rekordów zmian z problemami integralności oraz pobieranie raportów czasu zawierających dane osobowe (imiona i nazwiska pracowników oraz harmonogramy pracy).

Wtyczka Bootstrap Multi-language Responsive Portfolio dla WordPressa jest podatna na przechowywany XSS poprzez ustawienia administracyjne we wszystkich wersjach do 1.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Podatność dotyczy tylko instalacji multisite oraz tych, w których wyłączono unfiltered_html.

Występuje przejściowa odmowa usługi (DOS), gdy zdalne urządzenie wysyła nieprawidłowe żądanie połączenia podczas skanowania BT connectable LE.