Katalog podatności CVE

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie wymusza sprawdzenia DM/GM po stronie serwera. Uwierzytelniony użytkownik może poddać kwarantannie post należący do wiadomości bezpośredniej (DM) lub grupowej (GM) poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie waliduje kombinacji ról gościa i administratora. Uwierzytelniony atakujący może eskalująć konto gościa do administratora zespołu lub kanału poprzez spreparowane żądanie PUT do punktu końcowego API ról członków.

Wtyczka User Registration & Membership dla WordPressa (wersje do 5.2.8 włącznie) jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wykonać dowolne shortcode'y.

Wtyczka WP Booking System – Booking Calendar dla WordPressa (wersje do 2.1.0.1 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'data[orderby]' z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dodatkowe zapytania SQL i wyciągnąć poufne informacje z bazy danych; eksploatacja wymaga kalendarza z ponad 200 rezerwacjami.

Wtyczka GeoDirectory – WP Business Directory Plugin dla WordPressa (wersje do 2.8.192 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'twitterusername' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa (wersje do 7.2.8 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'note' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.

Wtyczka Site Reviews (wersje do 8.3.4 włącznie) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawnionym użytkownikom wykonanie akcji zastrzeżonych dla wyższych uprawnień.

Wtyczka WebberZone Top 10 – Popular Posts dla WordPressa (wersje do 4.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'other_attributes' (przetwarzany do wstrzyknięcia instance_id) oraz niezadeklarowany 'is_widget' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami współtwórcy może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa (wersje do 2.9 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS), ponieważ usuwa filtr wp_filter_post_kses przed zapisem treści z kanału RSS. Nieuwierzytelniony atakujący, który opublikuje lub przejmie kanał RSS subskrybowany przez administratora, może wstrzyknąć dowolne skrypty do importowanych postów.

Wtyczka WordPress affiliate-toolkit w wersji przed 3.8.9 nie waliduje wartości sortowania podanej przez użytkownika względem listy dozwolonych przed użyciem jej w zapytaniu do bazy danych, a ekran listy administracyjnej wymaga jedynie niższych uprawnień niż administrator. Umożliwia to użytkownikom z dostępem na poziomie edytora i wyższym przeprowadzenie wstrzyknięcia SQL i odczyt dowolnych informacji z bazy danych. W trybie multisite edytor podwitryny może odczytać globalną tabelę użytkowników sieci, w tym hash hasła superadministratora.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie sprawdza poprawnie autoryzacji przed utworzeniem rezerwacji i ufa identyfikatorowi użytkownika oraz statusowi rezerwacji dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym tworzenie rezerwacji przypisanych do dowolnych użytkowników, nadpisywanie ich danych kontaktowych oraz oznaczanie rezerwacji jako opłaconych lub potwierdzonych bez dokonywania płatności.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie generuje tokenów dostępu do API rezerwacji z bezpiecznego źródła losowego, zamiast tego wyprowadzając je z wartości zakodowanej na stałe we wtyczce oraz sekundy, w której token został wydany. Atakujący mogący ograniczyć czas wydania tokenu pracownika lub administratora może obliczyć prawidłowy token i uzyskać dostęp do API rezerwacji jako ten użytkownik, w tym administrator.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.3 nie ogranicza kilku swoich tras REST API rezerwacji do użytkowników z odpowiednimi uprawnieniami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczytanie wszystkich rekordów rezerwacji klientów, w tym ich danych osobowych.

Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.

Wtyczka HivePress – Business Directory, Listings & Classified Ads dla WordPressa (wersje do 1.7.32 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'message' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się w przeglądarce ofiary w momencie udanego logowania przez formularz na stronie ogłoszenia atakującego.

Wtyczka WSP MCP AI Agents Connector dla WordPressa (wersje do 2.9.5 włącznie) jest podatna na ujawnienie poufnych informacji, ponieważ narzędzie wsp_get_posts nie wymaga odpowiednich uprawnień, a endpoint MCP akceptuje każdego zalogowanego użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta może odczytać tytuły, adresy URL, autorów, kategorie, tagi i 40-wyrazowe fragmenty wszystkich niepublikowanych postów.

Wtyczka Photo Engine (Media Organizer & Lightroom) dla WordPressa (wersje do 6.5.6 włącznie) jest podatna na obejście autoryzacji, ponieważ nie weryfikuje poprawnie uprawnień użytkownika. Nieuwierzytelniony atakujący może trwale usunąć dowolne załączniki multimedialne i przesłać nowe pliki; użytkownik z poziomem subskrybenta może uzyskać token wplr_auth_token i wykonać destrukcyjne akcje.

Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień przed wyświetleniem danych ostatnich zgłoszeń formularzy w widżecie pulpitu. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) odczytać dane kontaktowe przesłane przez innych użytkowników, w tym imiona, adresy e-mail, tytuły formularzy i znaczniki czasu.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień ani nonce przy zmianie kolejności pól formularza. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) zmienić strukturę pól dowolnego formularza w witrynie, trwale psując jego publiczne wyświetlanie.