Katalog podatności CVE

Wtyczka YMC Filter dla WordPress jest podatna na Stored DOM-Based Cross-Site Scripting poprzez parametr 'post_title' we wszystkich wersjach do 3.12.19 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami autora mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zarażoną stronę.

Wtyczka WordPress ThirstyAffiliates w wersji przed 3.12.1 nie sprawdza statusu ani typu obiektu żądanego przez jej handler śledzenia przekierowań linków. Umożliwia to nieuwierzytelnionym atakującym ujawnienie docelowych adresów URL nieopublikowanych linków afiliacyjnych oraz zapis fałszywych statystyk kliknięć.

Wtyczka WordPress Patreon w wersji przed 1.10.0 nie weryfikuje nonce podczas łączenia witryny z kontem Patreon. Umożliwia to atakującym zmuszenie zalogowanego administratora do ponownego powiązania integracji z kontem kontrolowanym przez atakującego poprzez spreparowane żądanie (CSRF), przejmując integrację Patreon witryny.

Wtyczka WordPress Patreon w wersji przed 1.10.0 nie waliduje docelowego adresu przekierowania podanego przez użytkownika przed przekierowaniem. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolny zewnętrzny adres URL poprzez spreparowany link, co jest przydatne do phishingu.

Wtyczka WordPress BSK PDF Manager w wersji do 3.8.1 nieprawidłowo oczyszcza i escapuje parametr przed użyciem go w zapytaniu SQL. Może to pozwolić uwierzytelnionym użytkownikom z uprawnieniami współtwórcy i wyższymi na przeprowadzenie ataków SQL injection i odczyt poufnych danych, takich jak hashe haseł administratorów z bazy danych.

Wtyczka WordPress ACF Frontend Admin by DynamiApps w wersji do 3.29.13 nie ogranicza klas PHP, które mogą być instancjonowane podczas deserializacji przechowywanej treści postów renderowanej na stronach publicznych. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, wstrzyknięcie obiektu PHP, który przy odpowiednim łańcuchu POP w innej zainstalowanej wtyczce lub w jądrze WordPress może zostać wykorzystany do zdalnego wykonania kodu.

Wtyczka WordPress ACF Frontend Admin by DynamiApps w wersji do 3.29.13 nie wykonuje sprawdzenia uprawnień dla jednej ze swoich akcji przesyłania formularza przed zapisaniem przesłanych wartości do globalnego magazynu opcji ACF witryny. Umożliwia to nieuwierzytelnionym odwiedzającym nadpisanie wartości opcji w całej witrynie poprzez publiczny formularz.

Wtyczka WordPress WP User Manager w wersji przed 2.9.20 nie wycofuje konta WordPress utworzonego podczas rejestracji z bramką płatniczą, gdy kolejny krok płatności zakończy się niepowodzeniem. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie funkcjonalnych kont bez ukończenia płatności.

Wtyczka WordPress WP Data Access w wersji przed 5.5.88 nie posiada sprawdzeń autoryzacji i CSRF w jednej ze swoich akcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, zmuszenie serwera do otwierania połączeń z dowolnymi hostami i portami, w tym wewnętrznymi, oraz odczytania wyniku.

Wtyczka WordPress Contact Form 7 Signature Addon w wersji do 4.2.2 nie oczyszcza wartości pola podpisu przed zbudowaniem z niej ścieżki załącznika e-mail. Umożliwia to nieuwierzytelnionym użytkownikom dołączenie dowolnych plików (ograniczonych do wp-content w obecnej wersji Contact Form 7) do wychodzącego e-maila formularza poprzez path traversal; gdy formularz jest skonfigurowany do wysyłania kopii na adres kontrolowany przez zgłaszającego, atakujący może odczytać docelowy plik.

Wtyczka WordPress Ukr-To-Lat w wersjach do 1.3.5 włącznie nie sanityzuje ani nie escapuje nazwy terminu przed użyciem jej w zapytaniu SQL. Umożliwia to użytkownikom z uprawnieniami Contributor i wyższymi przeprowadzanie ataków SQL injection.

Wtyczka WordPress PeachPay — Payments & Express Checkout for WooCommerce w wersjach przed 1.120.70 nie sprawdza uprawnień ani własności zamówienia przed zwróceniem jego klucza tajnego w odpowiedzi na nieuwierzytelnione żądanie. Każdy może pobrać klucz dowolnego opłaconego zamówienia i użyć go do wglądu w dane klienta, takie jak imię i nazwisko, adres e-mail, adres pocztowy oraz zawartość zamówienia.

Wtyczka WordPress 'User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder' we wszystkich wersjach do 5.2.8 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji trigger_bulk_action. Nieuwierzytelnieni atakujący mogą zmusić administratorów do zatwierdzania oczekujących rejestracji użytkowników lub odrzucania dowolnych kont, blokując dostęp docelowym użytkownikom. Atakujący może obejść wcześniejszą kontrolę nonce w trigger_query_actions(), dostarczając pusty parametr new_role, co powoduje wczesne zakończenie tego handlera i przekazanie kontroli do niechronionego trigger_bulk_action(); wywołanie exit() na końcu tego handlera dodatkowo uniemożliwia wykonanie własnej walidacji nonce WordPressa dla masowych operacji na użytkownikach.

Wtyczka WordPress 'Tutor LMS – eLearning and online course solution' we wszystkich wersjach do 4.1.0 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'ID' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą modyfikować dowolne kursy utworzone przez innych instruktorów — nadpisując ich tytuł, treść i status — oraz przypisać sobie ich własność. Jest to możliwe, ponieważ Input::sanitize_array() zachowuje klucze POST dostarczone przez atakującego (w tym 'ID') bez ich usuwania, a WordPress interpretuje niepuste ID w tablicy argumentów wp_insert_post() jako aktualizację istniejącego posta, a nie nowe wstawienie.

Wtyczka WordPress 'Themify Builder' we wszystkich wersjach do 7.8.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez atrybut shortcode 'visible' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy aktywny jest niestandardowy typ posta 'slider', co jest spełnione automatycznie, gdy wtyczka jest sparowana z motywem Themify lub inną wtyczką rejestrującą CPT 'slider'.

Wtyczka WordPress 'Post Export Import with Media' we wszystkich wersjach do 1.17.2 włącznie jest podatna na Directory Traversal poprzez parametr 'theme_slug'. Uwierzytelnieni atakujący z uprawnieniami administratora lub wyższymi mogą wykonywać operacje na plikach poza zamierzonym katalogiem. Wykorzystanie wymaga włączenia funkcji peiwm_enable_admin_download_buttons w ustawieniach wtyczki.

Wtyczka WordPress 'Themify Popup' we wszystkich wersjach do 1.4.7 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'popup_width_unit' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WordPress 'xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN' we wszystkich wersjach do 1.4.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'content' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać prywatne opisy rezerwacji i identyfikatory rezerwacji z dowolnego kalendarza zarządzanego przez witrynę.