Katalog podatności CVE

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie generuje tokenów dostępu do API rezerwacji z bezpiecznego źródła losowego, zamiast tego wyprowadzając je z wartości zakodowanej na stałe we wtyczce oraz sekundy, w której token został wydany. Atakujący mogący ograniczyć czas wydania tokenu pracownika lub administratora może obliczyć prawidłowy token i uzyskać dostęp do API rezerwacji jako ten użytkownik, w tym administrator.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.3 nie ogranicza kilku swoich tras REST API rezerwacji do użytkowników z odpowiednimi uprawnieniami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczytanie wszystkich rekordów rezerwacji klientów, w tym ich danych osobowych.

Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.

Wtyczka HivePress – Business Directory, Listings & Classified Ads dla WordPressa (wersje do 1.7.32 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'message' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się w przeglądarce ofiary w momencie udanego logowania przez formularz na stronie ogłoszenia atakującego.

Wtyczka WSP MCP AI Agents Connector dla WordPressa (wersje do 2.9.5 włącznie) jest podatna na ujawnienie poufnych informacji, ponieważ narzędzie wsp_get_posts nie wymaga odpowiednich uprawnień, a endpoint MCP akceptuje każdego zalogowanego użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta może odczytać tytuły, adresy URL, autorów, kategorie, tagi i 40-wyrazowe fragmenty wszystkich niepublikowanych postów.

Wtyczka Photo Engine (Media Organizer & Lightroom) dla WordPressa (wersje do 6.5.6 włącznie) jest podatna na obejście autoryzacji, ponieważ nie weryfikuje poprawnie uprawnień użytkownika. Nieuwierzytelniony atakujący może trwale usunąć dowolne załączniki multimedialne i przesłać nowe pliki; użytkownik z poziomem subskrybenta może uzyskać token wplr_auth_token i wykonać destrukcyjne akcje.

Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień przed wyświetleniem danych ostatnich zgłoszeń formularzy w widżecie pulpitu. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) odczytać dane kontaktowe przesłane przez innych użytkowników, w tym imiona, adresy e-mail, tytuły formularzy i znaczniki czasu.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień ani nonce przy zmianie kolejności pól formularza. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) zmienić strukturę pól dowolnego formularza w witrynie, trwale psując jego publiczne wyświetlanie.

Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa w wersjach do 7.25.00 włącznie jest podatna na eskalację uprawnień. Dyspozytor 'start_comms' sprawdza jedynie klucz API bez weryfikacji uprawnień WordPressa i nonce, a następnie zapisuje niezwalidowane parametry do opcji WPS_IC_SETTINGS, co pozwala nieuwierzytelnionemu atakującemu nadać dowolnej roli uprawnienie 'manage_wpc_settings'.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.

Wtyczka Tainacan dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na przejście katalogowe (Directory Traversal) poprzez parametr 'guid'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać zawartość dowolnych plików na serwerze, co może ujawnić poufne informacje.

Wtyczka Tutor LMS – eLearning and online course solution dla WordPressa w wersjach do 4.0.8 włącznie jest podatna na DOM-Based Cross-Site Scripting poprzez parametr 'redirect_url'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się w przeglądarce ofiary po odwiedzeniu strony zawierającej złośliwy ładunek.

Wtyczka Lightweight Cookie Notice – Cookie Banner for Cookie Consent dla WordPressa w wersjach do 1.19 włącznie jest podatna na ujawnienie poufnych informacji. Stała W3TC_DYNAMIC_SECURITY jest zakodowana na stałe do publicznie znanej wartości, co pozwala nieuwierzytelnionemu atakującemu poznać klucz bezpieczeństwa mfunc W3 Total Cache.

Funkcja fanx_fingerprint w pliku ssl/sslxprint.c narzędzia ssldump zawiera błąd obliczania rozmiaru bufora, co prowadzi do 3-bajtowego przepełnienia bufora na stercie przy każdym wywołaniu z prawidłowymi danymi. Atakujący może dostarczyć spreparowany plik pcap z certyfikatem X.509 TLS, aby wywołać przepełnienie, gdy ssldump działa z włączonym odciskiem FAN/1.

Wtyczka Quick PayPal Payments: Payment Button & Form dla WordPressa w wersjach do 6.0.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'form'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa w wersjach do 3.6.1 włącznie jest podatna na ślepą iniekcję SQL poprzez parametr 'src_by[].val.start / src_by[].val.end (operator 'bt')'. Uwierzytelniony atakujący z uprawnieniami dostawcy lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, aby wyodrębnić poufne informacje z bazy danych.

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa w wersjach do 4.0.3 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'display_name'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Slim SEO – AI SEO Plugin, Lightweight, Fast & Automated dla WordPressa w wersjach do 4.11.1 włącznie jest podatna na wykonanie dowolnego shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zapisać ładunek shortcode w polu Biographical Info, który następnie wykona się przy każdym nieuwierzytelnionym żądaniu front-endu rozwiązującym opis autora.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'type' we wszystkich wersjach do 3.0.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Filtr wp_kses_post nie usuwa ładunku, ponieważ znaki nawiasów kątowych nie są wymagane, co pozwala niezabezpieczonej wartości atrybutu przetrwać zapis i uruchomić się jako aktywny handler zdarzeń w gałęzi renderowania dla niezalogowanych gości.