Katalog podatności CVE

Wtyczka WSP MCP AI Agents Connector dla WordPressa (wersje do 2.9.5 włącznie) jest podatna na ujawnienie poufnych informacji, ponieważ narzędzie wsp_get_posts nie wymaga odpowiednich uprawnień, a endpoint MCP akceptuje każdego zalogowanego użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta może odczytać tytuły, adresy URL, autorów, kategorie, tagi i 40-wyrazowe fragmenty wszystkich niepublikowanych postów.

Wtyczka Photo Engine (Media Organizer & Lightroom) dla WordPressa (wersje do 6.5.6 włącznie) jest podatna na obejście autoryzacji, ponieważ nie weryfikuje poprawnie uprawnień użytkownika. Nieuwierzytelniony atakujący może trwale usunąć dowolne załączniki multimedialne i przesłać nowe pliki; użytkownik z poziomem subskrybenta może uzyskać token wplr_auth_token i wykonać destrukcyjne akcje.

Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień przed wyświetleniem danych ostatnich zgłoszeń formularzy w widżecie pulpitu. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) odczytać dane kontaktowe przesłane przez innych użytkowników, w tym imiona, adresy e-mail, tytuły formularzy i znaczniki czasu.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień ani nonce przy zmianie kolejności pól formularza. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) zmienić strukturę pól dowolnego formularza w witrynie, trwale psując jego publiczne wyświetlanie.

Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa w wersjach do 7.25.00 włącznie jest podatna na eskalację uprawnień. Dyspozytor 'start_comms' sprawdza jedynie klucz API bez weryfikacji uprawnień WordPressa i nonce, a następnie zapisuje niezwalidowane parametry do opcji WPS_IC_SETTINGS, co pozwala nieuwierzytelnionemu atakującemu nadać dowolnej roli uprawnienie 'manage_wpc_settings'.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.

Wtyczka Tainacan dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na przejście katalogowe (Directory Traversal) poprzez parametr 'guid'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać zawartość dowolnych plików na serwerze, co może ujawnić poufne informacje.

Wtyczka Tutor LMS – eLearning and online course solution dla WordPressa w wersjach do 4.0.8 włącznie jest podatna na DOM-Based Cross-Site Scripting poprzez parametr 'redirect_url'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się w przeglądarce ofiary po odwiedzeniu strony zawierającej złośliwy ładunek.

Wtyczka Lightweight Cookie Notice – Cookie Banner for Cookie Consent dla WordPressa w wersjach do 1.19 włącznie jest podatna na ujawnienie poufnych informacji. Stała W3TC_DYNAMIC_SECURITY jest zakodowana na stałe do publicznie znanej wartości, co pozwala nieuwierzytelnionemu atakującemu poznać klucz bezpieczeństwa mfunc W3 Total Cache.

Funkcja fanx_fingerprint w pliku ssl/sslxprint.c narzędzia ssldump zawiera błąd obliczania rozmiaru bufora, co prowadzi do 3-bajtowego przepełnienia bufora na stercie przy każdym wywołaniu z prawidłowymi danymi. Atakujący może dostarczyć spreparowany plik pcap z certyfikatem X.509 TLS, aby wywołać przepełnienie, gdy ssldump działa z włączonym odciskiem FAN/1.

Wtyczka Quick PayPal Payments: Payment Button & Form dla WordPressa w wersjach do 6.0.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'form'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Vitepos – Point of Sale (POS) for WooCommerce dla WordPressa w wersjach do 3.6.1 włącznie jest podatna na ślepą iniekcję SQL poprzez parametr 'src_by[].val.start / src_by[].val.end (operator 'bt')'. Uwierzytelniony atakujący z uprawnieniami dostawcy lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, aby wyodrębnić poufne informacje z bazy danych.

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa w wersjach do 4.0.3 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'display_name'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Slim SEO – AI SEO Plugin, Lightweight, Fast & Automated dla WordPressa w wersjach do 4.11.1 włącznie jest podatna na wykonanie dowolnego shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zapisać ładunek shortcode w polu Biographical Info, który następnie wykona się przy każdym nieuwierzytelnionym żądaniu front-endu rozwiązującym opis autora.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'type' we wszystkich wersjach do 3.0.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Filtr wp_kses_post nie usuwa ładunku, ponieważ znaki nawiasów kątowych nie są wymagane, co pozwala niezabezpieczonej wartości atrybutu przetrwać zapis i uruchomić się jako aktywny handler zdarzeń w gałęzi renderowania dla niezalogowanych gości.

Wtyczka SQL Chart Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr wartości kolumny osi X we wszystkich wersjach do 3.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to, aby administrator opublikował wykres, którego zapytanie SQL zwraca kolumnę kontrolowaną przez użytkownika o niższych uprawnieniach, np. wp_users.display_name, którą subskrybent może wypełnić ładunkiem poprzez standardową stronę profilu WordPress.

Wtyczka Broken Link Checker dla WordPress w wersjach do 2.4.14.1 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, jeśli przesłany komentarz zawierający payload w atrybucie href lub src zostanie zatwierdzony przez normalny proces moderacji komentarzy; po zatwierdzeniu shortcode jest wykonywany automatycznie przez WP-Cron.

Wtyczka Mail Mint dla WordPress w wersjach do 1.31.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'filters' endpointu REST /wp-json/mrm/v1/segments/contacts. Brak wystarczającego escapowania wartości filtra przed dołączeniem jej do zapytania SQL w SegmentFilterService::get_meta_join_query() (linia 797) — wartość jest interpolowana do fragmentu WHERE w kontekście numerycznym (bez cudzysłowów), a otaczające wywołania $wpdb->prepare() nie obejmują wstrzykniętej wartości.

Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.