Katalog podatności CVE

Wtyczka SQL Chart Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr wartości kolumny osi X we wszystkich wersjach do 3.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to, aby administrator opublikował wykres, którego zapytanie SQL zwraca kolumnę kontrolowaną przez użytkownika o niższych uprawnieniach, np. wp_users.display_name, którą subskrybent może wypełnić ładunkiem poprzez standardową stronę profilu WordPress.

Wtyczka Broken Link Checker dla WordPress w wersjach do 2.4.14.1 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, jeśli przesłany komentarz zawierający payload w atrybucie href lub src zostanie zatwierdzony przez normalny proces moderacji komentarzy; po zatwierdzeniu shortcode jest wykonywany automatycznie przez WP-Cron.

Wtyczka Mail Mint dla WordPress w wersjach do 1.31.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'filters' endpointu REST /wp-json/mrm/v1/segments/contacts. Brak wystarczającego escapowania wartości filtra przed dołączeniem jej do zapytania SQL w SegmentFilterService::get_meta_join_query() (linia 797) — wartość jest interpolowana do fragmentu WHERE w kontekście numerycznym (bez cudzysłowów), a otaczające wywołania $wpdb->prepare() nie obejmują wstrzykniętej wartości.

Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.

Wtyczka Bulk Page Generator – LPagery dla WordPress w wersjach do 3.1.0 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może tworzyć, modyfikować i usuwać strony zarządzane przez LPagery oraz procesy masowego generowania stron zarezerwowane dla administratorów. Na domyślnych świeżych instalacjach, w których nie wybrano Freemius, klucz AES-256-CBC używany do walidacji tokenów Bearer sprowadza się do publicznie znanego hasha SHA-256 pustego ciągu, co czyni token całkowicie podrabialnym.

Wtyczka Mang Board dla WordPress w wersjach do 2.4.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika. Obejście sanityzacji jest dodatkowo ułatwione przez możliwość pominięcia parametru data_type w żądaniu modyfikacji, co całkowicie pomija gałąź HTMLPurifier i pozostawia jedynie kodowanie mbw_htmlspecialchars2 — w pełni odwracane przy renderowaniu.

Wtyczka Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy dla WordPress w wersjach do 1.2.0 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'image_hub_api_keys_* (6 opcji)'. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wyodrębnić jawne poświadczenia API dla sześciu usług zewnętrznych — Giphy, Openverse (client ID i secret), Pexels, Pixabay i Unsplash — emitowane dosłownie do HTML każdej strony administracyjnej przez wp_localize_script. Ujawniony HTML zawiera również ważny nonce AJAX image_hub_nonce, co — w połączeniu z brakiem sprawdzenia uprawnień w handlerze AJAX image_hub_update_settings — pozwala temu samemu atakującemu nadpisać wszystkie sześć zapisanych opcji poświadczeń API przez update_option().

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym użytkownikom na wykonywanie dowolnych shortcode'ów, ponieważ wartość przekazywana do do_shortcode nie jest prawidłowo walidowana. Wykorzystanie jest możliwe na każdej instalacji z motywem blokowym poprzez pojedyncze żądanie GET do strony wyników wyszukiwania lub przez anonimowy komentarz, bez potrzeby posiadania treści Forminator.

Wtyczka Gwolle Guestbook dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'permalink' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Dark Mode – Improve Accessibility with AI Powered Dark Theme dla WordPressa (wersje do 5.3.17 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut shortcode 'icon_light' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa (wersje do 5.2.1 włącznie) jest podatna na Insecure Direct Object Reference poprzez parametr 'password' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami vendor może zmienić hasło do konta WordPress dowolnego klienta, który złożył co najmniej jedno zamówienie u tego vendora, co umożliwia przejęcie konta klienta.

Wtyczka Cooked – Recipe Management dla WordPressa (wersje do 1.16.1 włącznie) jest podatna na trwały Cross-Site Scripting poprzez zawartość shortcode [cooked-timer] z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wheels w wersjach do 4.1.1 włącznie wyznacza domyślny adres e-mail do zgłaszania błędów produkcyjnych na podstawie nagłówka Host żądania, które uruchamia aplikację. Jeśli nie skonfigurowano jawnego odbiorcy, atakujący może wywołać zimny start i przekierować późniejsze e-maile z błędami na swój adres, ujawniając metadane błędów i żądań, a w niektórych przypadkach także sekrety konfiguracji i dane sesji innych użytkowników. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 3.0.0 do 4.1.1 może ujawnić szczegółowe wyjątki, gdy allowIPBasedDebugAccess=true (domyślnie wyłączone). Żądanie dozwolonego administratora zmienia ustawienia wyświetlania błędów w współdzielonym zakresie aplikacji, a jeśli nakłada się na żądanie nieautoryzowanego klienta, który wywoła błąd, klient ten może otrzymać pełne szczegóły wyjątku, w tym kontekst tagu lub serializowany wyjątek oraz zawarte w nich dane wrażliwe. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 4.0.6 do 4.1.2 pozwala nieuwierzytelnionemu klientowi przełączyć żądanie w kontekst aplikacji testowej, nawet w środowisku produkcyjnym, poprzez nagłówek X-Wheels-Test-Context, cookie WHEELS_TEST_CONTEXT lub ścieżkę test-runnera w URL. Aplikacja alternatywna używa tej samej konfiguracji, środowiska, źródła danych i ustawień debugowania; nie jest to obejście uwierzytelniania ani eskalacja uprawnień, ale może obejść tryb konserwacji, zapewnić dodatkowe liczniki limitów i wywołać dodatkowe efekty uboczne. Poprawka została wydana w wersji 4.2.0.

Backdrop CMS Core w wersjach 1.35.x przed 1.35.2 i 1.34.x przed 1.34.6 nie waliduje wystarczająco przesyłanych obrazów SVG, aby upewnić się, że nie zawierają niebezpiecznych tagów SVG. Poprzez przesłanie spreparowanego pliku SVG możliwe jest wykonanie skryptu w przeglądarce, gdy obraz jest wyświetlany bezpośrednio pod jego adresem URL. Podatność jest ograniczona, ponieważ Backdrop osadza przesłane obrazy SVG w tagach <img>, co zapobiega wykonaniu skryptu.

Wtyczka Debloat – Remove Unused CSS, Optimize JS dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na Directory Traversal poprzez parametr 's'. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać dowolne pliki na serwerze, a przy włączonej funkcji Optimize CSS atak może wywołać nieuwierzytelniony użytkownik pojedynczym żądaniem GET.

Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.

Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.