Katalog podatności CVE

W VirtueMart w wersjach od 1.0.0 do 4.4.10 dla Joomla wykryto podatność na odbity Cross-Site Scripting (XSS) bez wymaganego uwierzytelnienia. Podatność pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika.

Złośliwa lub nieprawidłowo sformatowana aplikacja może zostać zainstalowana, ale nie można jej odinstalować, co może prowadzić do niedostępności systemu. Problem dotyczy urządzeń BLU-IC2 i BLU-IC4 w wersjach do 1.19.5.

Motyw The7 dla WordPressa jest podatny na przechowywany atak XSS poprzez parametr 'the7_fancy_title_css' we wszystkich wersjach do 12.9.1 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.

Podatność wtyczki Discussion Board – WordPress Forum Plugin w wersjach do 2.5.5 włącznie. Umożliwia wykonanie dowolnych shortcode'ów z powodu braku walidacji wartości przed wywołaniem do_shortcode. Atakujący z dostępem na poziomie Subscriber i wyższym mogą to wykorzystać.

Wtyczka Fast Velocity Minify dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez ustawienia administratora we wszystkich wersjach do 3.5.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Dotyczy to tylko instalacji wielostanowiskowych oraz instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka FuseWP – WordPress User Sync to Email List & Marketing Automation jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 1.1.23.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji save_changes, co pozwala nieuwierzytelnionemu atakującemu dodawać lub edytować reguły synchronizacji po nakłonieniu administratora do kliknięcia linku.

Wtyczka Charitable – Donation Plugin dla WordPressa jest podatna na wstrzyknięcie SQL przez parametr donation_ids we wszystkich wersjach do 1.8.8.4 włącznie, z powodu niewystarczającego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych. Eksploatacja wymaga płatnej darowizny.

Wtyczka SpendeOnline.org dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez shortcode 'spendeonline' we wszystkich wersjach do 3.0.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika.

Wtyczka Advanced Database Cleaner dla WordPressa jest podatna na fałszowanie żądań między witrynami (CSRF) we wszystkich wersjach do 3.1.6 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji aDBc_prepare_elements_to_clean().

Wtyczka Password Policy Manager | Password Manager dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'moppm_ajax' we wszystkich wersjach do 2.0.5 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym wylogowanie połączenia witryny z miniorange.

Wtyczka Social Feed Gallery dla WordPress jest podatna na ujawnienie informacji w wersjach 4.9.2 i wcześniejszych. Wynika to z nieprawidłowego sprawdzania, czy użytkownik jest upoważniony do wykonania akcji, co umożliwia nieuwierzytelnionym atakującym wyeksfiltrowanie danych profilu i multimediów Instagrama z dowolnego konta połączonego z witryną.

Wtyczka Widget Options dla WordPressa jest podatna na przechowywany atak XSS poprzez wiele funkcji we wszystkich wersjach do 4.1.2 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka WordPress Testimonial Carousel For Elementor (wersje do 11.6.2) jest podatna na przechowywany cross-site scripting (XSS) poprzez wiele parametrów, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty do stron.

Wtyczka Gutenberg Blocks – PublishPress Blocks dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametry 'Marker Title' i 'Marker Description' bloku Maps w wersjach do 3.3.4 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Motyw Listeo dla WordPressa jest podatny na przechowywany atak XSS poprzez shortcode 'soundcloud' w wersji 2.0.8 lub wcześniejszej. Brak odpowiedniego oczyszczania wejścia i wyjścia na atrybutach dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka Tutor LMS dla WordPressa w wersjach do 3.8.3 włącznie jest podatna na ujawnienie poufnych informacji. Uwierzytelniony atakujący z uprawnieniami na poziomie instruktora (tutor) lub wyższymi może przeglądać zadania kursów, których nie prowadzi, co może zawierać wrażliwe dane.

Wtyczka Tutor LMS Pro dla WordPress jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.8.3 włącznie, z powodu braku walidacji klucza kontrolowanego przez użytkownika w funkcji tutor_assignment_submit(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może przeglądać i edytować zgłoszenia zadań innych studentów.

Wtyczka WP VR – 360 Panorama i Free Virtual Tour Builder dla WordPressa jest podatna na nieautoryzowany dostęp do danych we wszystkich wersjach do 8.5.41 włącznie. Wynika to z braku prawidłowej weryfikacji uprawnień użytkownika, co pozwala uwierzytelnionym atakującym z poziomem współpracownika (contributor) i wyższym na modyfikację wrażliwych opcji wtyczki.

Wtyczka GenerateBlocks dla WordPressa w wersjach do 2.1.1 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_option_rest'. Uwierzytelniony atakujący z rolą co najmniej współpracownika (contributor) może odczytać dowolne opcje WordPressa, w tym dane uwierzytelniające SMTP, klucze API i inne dane przechowywane przez inne wtyczki.

Wtyczka Tutor LMS – eLearning and online course solution dla WordPressa w wersjach do 3.8.3 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień podczas weryfikacji podpisów webhooków w funkcji 'verifyAndCreateOrderData'. Nieuwierzytelniony atakujący może ominąć weryfikację płatności i oznaczyć zamówienia jako opłacone, wysyłając sfałszowane żądania webhook z parametrem 'payment_type' ustawionym na 'recurring'.