Katalog podatności CVE

Wtyczka FlexStock dla WordPressa (do wersji 3.17.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'products[].post_content' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywana przez ujawnienie tokenu bearer w źródle strony Dashboardu bez sprawdzenia uprawnień oraz przez endpoint REST, który waliduje tylko token bearer, a nie uprawnienia użytkownika.

Wtyczka WooCommerce Extra Product Options Pro dla WordPressa jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr '<fieldname>_start / <fieldname>_end' we wszystkich wersjach do 3.3.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Podatność jest wykorzystywana tylko na stronach produktów, na których skonfigurowano pole Date & Time Range Picker.

Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.

Wtyczka WP Activity Log dla WordPressa (wersje do 5.6.1) jest podatna na przechowywany cross-site scripting (Stored XSS) z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Smart Post dla WordPressa (wersje do 4.0.9) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'display_name' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Eksploatacja wymaga, aby strona ofiary zawierała blok Author Filter wraz z blokiem siatki lub live-filter, a wykonanie jest wyzwalane przez kliknięcie wpisu autora atakującego w rozwijanym menu.

Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.

W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.

W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.

W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.

W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.

Wtyczka FeedWordPress dla WordPressa (wersje do 2026.0517) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez treść syndykowanych kanałów RSS/Atom. Funkcja SyndicatedPost::sanitize_content() usuwa jedynie atrybut 'target', a SyndicatedPost::insert_post() celowo usuwa filtry wp_filter_kses i wp_filter_post_kses przed zapisaniem importowanych elementów kanału. To pozwala nieuwierzytelnionym atakującym kontrolującym zewnętrzny kanał, do którego witryna już subskrybuje, wstrzykiwać dowolne skrypty internetowe do stron.

Wtyczka All in One SEO dla WordPressa w wersjach do 5.0.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 's'. Nieuwierzytelniony atakujący może wydobyć dowolne niepubliczne wartości meta wpisów, w tym wrażliwe pola niestandardowe takie jak klucze API i notatki wewnętrzne, które są emitowane dosłownie do elementu tytułu HTML oraz schematu JSON-LD SearchResultsPage.

Wtyczka Amelia (Booking for Appointments and Events Calendar) dla WordPressa w wersjach do 2.4.12 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'page'. Nieuwierzytelniony atakujący może wydobyć dane osobowe personelu (imię i nazwisko, adres e-mail, numer telefonu, płeć, strefę czasową) oraz wewnętrzne notatki administratora dla każdego opublikowanego wydarzenia, ponieważ surowa tablica providers nie jest usuwana przed wyjściem w odpowiedzi JSON.

Wtyczka Acadlix LMS dla WordPressa (wersje do 1.1.9) jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji post_delete_assessment_file_by_id. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowych plików, takich jak wp-config.php. Callback uprawnień weryfikuje jedynie ogólny nonce wp_rest publikowany w obiekcie acadlixOptions na każdej stronie frontendowej, co w praktyce obniża wymóg uwierzytelnienia do nieuwierzytelnionego.

Wtyczka Newsletters dla WordPressa w wersjach do 4.18.1 włącznie jest podatna na czasową iniekcję SQL poprzez parametr 'id' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może dołączać dodatkowe zapytania SQL do istniejących zapytań w celu wydobycia poufnych informacji z bazy danych. Atakujący może uzyskać wymagany nonce i cookie subscriberauth bez konta WordPress, subskrybując publiczny formularz newslettera i otwierając link zarządzania wysłany e-mailem; kontrola własności weryfikuje tylko pole subscriber_id i nie sprawdza, czy wstrzyknięty parametr id należy do uwierzytelnionego subskrybenta.

Wtyczka User Frontend dla WordPressa (do wersji 4.3.13) jest podatna na eskalację uprawnień poprzez parametr 'post_content' w funkcji submit_post(). Luka pozwala na wstrzyknięcie bajtu kontrolnego w nazwie shortcode, aby ominąć blokadę i zapisać działający shortcode rejestracji z rolą 'editor'. Umożliwia to uwierzytelnionym atakującym z poziomem Subskrybenta utworzenie konta z uprawnieniami Edytora.

Wtyczka Uncanny Toolkit for LearnDash dla WordPressa (do wersji 3.8.2) zawiera lukę umożliwiającą obejście uwierzytelniania poprzez parametr 'email' w funkcji uo_login_action(). Błąd wynika z różnicy w parsowaniu: weryfikacja konta używa surowego ciągu, a logowanie używa oczyszczonego, co pozwala pominąć kontrolę statusu konta. Umożliwia to nieuwierzytelnionemu atakującemu zalogowanie się na niezweryfikowane lub zawieszone konta, jeśli zna dane logowania.

Wtyczka Shield Security dla WordPressa (do wersji 22.3.2) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'REQUEST_URI'. Niedostateczna sanityzacja i escapowanie danych wejściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Ukryta kolumna 'path' w ForTraffic.php nie jest escapowana, co umożliwia atak.

Wtyczka SEOPress dla WordPressa (do wersji 10.3) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'display_name'. Niedostateczna sanityzacja i escapowanie danych wejściowych pozwala uwierzytelnionemu atakującemu z poziomem Subskrybenta wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Ładunek wykorzystuje token %%archive_title%% wraz z kodem HTML, a wtyczka podstawia token po escapowaniu.

Wtyczka Project Manager – AI Powered Project Management dla WordPressa (do wersji 4.1.1) jest podatna na zdalne wykonanie kodu poprzez parametr 'id'. Nieoczyszczona wartość parametru jest wstawiana do reguły walidacji, a następnie dzielona i wywoływana jako dynamiczna funkcja PHP bez sprawdzenia dozwolonych wartości. Umożliwia to nieuwierzytelnionemu atakującemu wykonanie kodu na serwerze.