Katalog podatności CVE

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa jest podatna na przechowywany XSS poprzez ciasteczko 'service_type' we wszystkich wersjach do 1.5.5 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Atakujący bez uwierzytelnienia może wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka Schema App Structured Data dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w filtrze wyjściowym 'Remove Microdata' we wszystkich wersjach do 2.3.2 włącznie z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka SSL Wireless SMS Notification dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 3.8.1 włącznie. Handler final_login_ajax_action uwierzytelnia użytkownika, dopasowując tabelę wp_sslcare_otp wyłącznie po numerze telefonu i cap_data dostarczonych przez atakującego, bez weryfikacji OTP SMS ani stanu jednorazowego po stronie serwera.

Wtyczka Social Web Suite – Social Media Auto Post, Social Media Auto Publish dla WordPressa jest podatna na SQL Injection poprzez parametr 'exclude_posts' we wszystkich wersjach do 4.1.12 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka SendPress Newsletters dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'subscriberid' we wszystkich wersjach do 1.26.1.20 włącznie z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dołączyć dodatkowe zapytania SQL i wyodrębnić poufne informacje z bazy danych.

Wtyczka Wild Apricot Login dla WordPressa w wersjach do 1.0.18 włącznie jest podatna na obejście uwierzytelniania poprzez powiązanie konta na podstawie kolizji adresu e-mail w SSO. Gdy nie znaleziono mapowania kontaktu WildApricot, wtyczka używa globalnego wyszukiwania użytkownika po e-mailu i bez weryfikacji własności konta (hasła, potwierdzenia e-mail, zgody administratora) wydaje sesyjne ciasteczko uwierzytelniające dla znalezionego użytkownika. Atakujący z dostępem do kontaktu WildApricot o adresie e-mail administratora podstrony może przejąć jego tożsamość w całej sieci Multisite.

W funkcjonalności /api/runscript w FUXA (wersja 1.3.2-2809) występuje luka pozwalająca na obejście autoryzacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania operacji o podwyższonych uprawnieniach, a atakujący może wywołać je bez uwierzytelnienia.

W FUXA (wersja 1.3.2-2809) występuje luka polegająca na obejściu autoryzacji w funkcjonalności /nodered. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu, a atakujący może je wysłać bez uwierzytelnienia.

W funkcjonalności /nodered/fuxa/scripts w FUXA (wersja 1.3.2-2809) występuje luka ujawnienia informacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wycieku informacji, a atakujący może wywołać ją bez uwierzytelnienia.

W zagrożonych wersjach Octopus Server z włączonym dostawcą uwierzytelniania LDAP każdy uwierzytelniony użytkownik mógł wywołać wyszukiwanie użytkowników LDAP oraz wyszukiwanie grup LDAP.

Wtyczka Bot for Telegram on WooCommerce (do wersji 1.3.0) jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta. Endpoint REST /wp-json/woo-telegram/v1/main/ nie weryfikuje podpisu webhooka i pozwala nieuwierzytelnionemu atakującemu na podszycie się pod dowolnego użytkownika WordPress, w tym administratora, znając jedynie jego nazwę logowania.

W openEQUELLA przed wersją 2026.2 powiadomienie przed logowaniem jest przechowywane jako HTML i renderowane na starszej stronie logowania bez kodowania i sanityzacji. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może ustawić powiadomienie zawierające dowolny skrypt (PUT /api/preloginnotice), co prowadzi do przechowywanego XSS na stronie logowania; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

W openEQUELLA przed wersją 2026.1 endpoint GET /api/userquery/userinfobackup nie wykonuje żadnej kontroli uwierzytelnienia ani autoryzacji. Nieuwierzytelniony atakujący, podając uniqueId innego użytkownika, może pobrać jego zapisane dane osobowe (nazwę użytkownika, imię, nazwisko i adres e-mail) w obrębie tej samej instytucji.

W openEQUELLA przed wersją 2026.1 parser XML używany do metadanych elementów nie wyłącza rozwiązywania encji zewnętrznych. Użytkownik z uprawnieniem CREATE_ITEM może przesłać spreparowany XML do POST /api/item i spowodować odczyt dowolnych plików dostępnych dla usługi lub żądania do lokalizacji wskazanych przez atakującego (SSRF), w tym usług metadanych instancji chmurowych.

W openEQUELLA przed wersją 2026.1 API SOAP parsuje XML dostarczony w operacji stopEdit parserem, który rozwiązuje encje zewnętrzne. Pozwala to atakującemu odczytać dowolne pliki dostępne dla usługi openEQUELLA lub spowodować, że serwer wykona żądania do lokalizacji wskazanych przez atakującego (SSRF).

W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.

W openEQUELLA przed wersją 2026.1 endpoint przesyłania obrazu powiadomienia przed logowaniem (PUT /api/preloginnotice/image/{name}) nie waliduje typu przesyłanych plików i serwuje je z Content-Type wynikającym z dostarczonej nazwy pliku. Użytkownik z uprawnieniem EDIT_SYSTEM_SETTINGS może przesłać plik HTML, który jest następnie serwowany jako text/html z domeny openEQUELLA, co prowadzi do przechowywanego XSS; nieuwierzytelnione wykorzystanie jest możliwe, gdy EDIT_SYSTEM_SETTINGS przyznano użytkownikowi gościa lub grupie Everyone.

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie filtrowała danych produktów WooCommerce osadzanych na publicznych stronach sklepu. Nieuwierzytelniony atakujący mógł odczytać hasła produktów i prywatne metadane produktów z zagrożonego sklepu.

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie escapowała zapisanych ustawień na stronie ustawień administratora, co prowadzi do przechowywanego XSS. Atakujący mogący zmodyfikować konfigurację wtyczki może wykonać dowolny JavaScript w sesji administratora odwiedzającego zagrożoną stronę.

Wtyczka Ortto dla WordPressa przed wersją 1.0.25 nie uwierzytelniała żądań aktualizacji konfiguracji, opierając się wyłącznie na sekrecie ujawnionym w publicznym HTML. Nieuwierzytelniony atakujący mógł nadpisać konfigurację wtyczki, aby serwować dowolne skrypty.