Katalog podatności CVE

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.

Wtyczka WordPress Recipe Card Blocks Lite przed wersją 3.6.4 nie sprawdza uprawnień przed renderowaniem wpisów przez funkcję drukowania przepisów. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie tytułu, ID i treści przepisu niepublikowanych wpisów (szkiców, oczekujących, prywatnych i chronionych hasłem). Opcjonalna ochrona "drukuj tylko opublikowane wpisy" nie działa, ponieważ status sprawdzany jest dla innego wpisu niż renderowany.

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.6.0 (w tym 6.5.8 i starsze) nie ma prawidłowych kontroli uprawnień podczas aktualizacji danych wpisów przez jedną z tras REST API. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Author i wyższym modyfikację tytułu, treści, zajawki i innych pól dowolnych wpisów, stron i załączników, w tym należących do innych użytkowników.

Wtyczka WordPress Chat AI with Dispatcher przed wersją 2.4 nieprawidłowo waliduje przesyłane pliki, opierając się wyłącznie na podanym przez klienta typie zawartości, który można podszyć. Umożliwia to nieuwierzytelnionym atakującym przesłanie dowolnych plików, w tym PHP, co może prowadzić do zdalnego wykonania kodu.

W WildFly wykryto lukę, która pozwala zdalnemu atakującemu ominąć uwierzytelnianie przy wywołaniach IIOP EJB. Interceptor bezpieczeństwa CSIv2 akceptuje asercje tożsamości ITTPrincipalName w kontekście usługi bez weryfikacji uwierzytelniania na poziomie transportu, co umożliwia atakującemu bez uwierzytelnienia na porcie 3528 podszycie się pod dowolnego principal na każdym zdalnym EJB wystawionym przez IIOP.

Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.

Wtyczka WordPress Automated Import Products to Cart przed wersją 1.0.4 nie sanityzuje ścieżki pliku podanej przez użytkownika przed użyciem jej do odczytu i usuwania plików. Umożliwia to użytkownikom z minimalnymi uprawnieniami, takimi jak subskrybent, odczyt dowolnych plików (w tym zawierających dane uwierzytelniające do bazy danych) i usuwanie dowolnych plików na serwerze.

Wtyczka WordPress LogixFast Auth przed wersją 1.0.4 nie dostarcza jednorazowego kodu resetowania hasła na adres e-mail przypisanego konta, lecz wysyła go na adres podany w żądaniu. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego użytkownika, w tym administratora, i przejęcie konta.

Wtyczki WordPress Two Factor Authentication przed wersją 1.17.0 oraz All-In-One Security (AIOS) przed wersją 5.5.0 nie wiążą konta, którego kod dwuskładnikowy jest weryfikowany, z kontem, które jest uwierzytelniane. Umożliwia to atakującemu znającemu hasło ofiary i posiadającemu własne konto z włączonym 2FA spełnienie drugiego składnika weryfikacji ofiary własnym kodem i uzyskanie sesji ofiary.

Wtyczka WordPress WP Photo Album Plus przed wersją 9.3.04.004 nie weryfikuje pochodzenia ani tokenu bezpieczeństwa dla jednego z żądań zarządzania komentarzami. Umożliwia to atakującym usuwanie komentarzy do zdjęć poprzez nakłonienie zalogowanego użytkownika z uprawnieniami do moderacji komentarzy do załadowania spreparowanej strony.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.

Wtyczka WordPress Hide Price Until Login w wersji przed 1.1.2 nie ogranicza obsługi rejestracji gości i nie respektuje ustawienia witryny dotyczącego rejestracji użytkowników. W efekcie każdy może utworzyć konto WordPress i uzyskać sesję zalogowanego użytkownika, nawet gdy rejestracja jest wyłączona.

Wtyczka WordPress Wallet System for WooCommerce w wersji przed 2.8.2 nie ogranicza obsługi przesyłania dokumentów KYC do konta bieżącego użytkownika, pobierając docelowy identyfikator użytkownika z pola żądania bez sprawdzenia własności lub uprawnień. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (np. Subscriber lub Customer) nadpisanie dokumentów KYC i statusu weryfikacji dowolnego innego użytkownika, w tym administratora.

Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie ogranicza ustawień integracji zwracanych odwiedzającym, co pozwala nieuwierzytelnionym użytkownikom odczytać klucz tajny reCAPTCHA, jeśli został zapisany.

Wtyczka WordPress WP Post Author w wersji przed 4.2.0 nie sprawdza, czy konto zostało utworzone przed aktualizacją profilu podczas rejestracji front-end, co pozwala nieuwierzytelnionym użytkownikom nadpisać nazwę wyświetlaną, pseudonim i stronę internetową pierwszego konta użytkownika (zwykle administratora), gdy formularz rejestracji deklaruje jedno z tych pól.

Wtyczka WordPress Appointment Booking Plugin w wersji przed 5.7.6 nie escapuje niektórych ustawień treści kroków formularza rezerwacji przed renderowaniem ich w publicznym formularzu rezerwacji. Pozwala to użytkownikom o wysokich uprawnieniach (np. administratorom) wstrzyknąć JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego formularz; w trybie multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, przekracza to granicę uprawnień w stosunku do nieuwierzytelnionych odwiedzających.

Wtyczki WordPress Frontend Dashboard w wersji przed 3.0.5 oraz ProfileGrid w wersji przed 6.0.0.5 nie zapobiegają przechowywaniu przez nieuwierzytelnionego użytkownika serializowanego obiektu PHP w metadanych użytkownika, który jest deserializowany podczas wyświetlania publicznego profilu. Umożliwia to wstrzyknięcie obiektu PHP, co może prowadzić do dowolnego zapisu pliku i potencjalnego zdalnego wykonania kodu.

Wtyczka WordPress LetterPress w wersji przed 2.4.0 nie sanityzuje i nie escapuje niektórych swoich ustawień, co może pozwolić użytkownikom o wysokich uprawnieniach (np. administratorowi) na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

Wtyczka DSGVO All in one for WP dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w wyniku korupcji wyrażeń regularnych bufora wyjściowego we wszystkich wersjach do 5.0 włącznie. Luka wynika z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty do stron.