Katalog podatności CVE

Wtyczka WordPress Trust Payments Gateway for WooCommerce w wersji przed 3.1.0 nie weryfikuje autentyczności odpowiedzi dostawcy płatności, gdy klient powraca z hostowanej strony płatności, ani nie wiąże tej odpowiedzi z docelowym zamówieniem, ani nie sprawdza kwoty. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności oraz uzyskanie szczegółów zamówień i klientów.

Wtyczka Pricing Table dla WordPressa przed wersją 2.1.5 nie weryfikuje schematu wartości linku dostarczonego przez użytkownika w jednym z bloków przed jego wyrenderowaniem, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na przechowywanie złośliwych skryptów, które wykonują się, gdy inny użytkownik przegląda i wchodzi w interakcję z dotkniętą treścią.

Wtyczka FV Flowplayer Video Player dla WordPressa przed wersją 7.5.55.7212 nie weryfikuje poprawnie adresu URL dostarczonego przez użytkownika przed wykonaniem pobierania po stronie serwera, a istniejące ograniczenie oparte na hoście nie obejmuje wszystkich przypadków, co pozwala użytkownikom z dostępem na poziomie Współautora i wyższym na przeprowadzanie ataków typu Server-Side Request Forgery (SSRF). Wpływ jest ograniczony do pół-ślepego wyroczni: pobieranie przez serwer ujawnia, czy zasób wewnętrzny odpowiada i jaki jest jego status HTTP, ale zawartość zasobu nie jest zwracana atakującemu.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.8 nie wykonuje żadnej kontroli uprawnień ani nonce na nieuwierzytelnionym żądaniu, które wyzwala żądanie po stronie serwera zawierające poświadczenia do API strony trzeciej i przechowuje wpisy pamięci podręcznej kontrolowane przez atakującego, co pozwala nieuwierzytelnionym atakującym na zużywanie limitu API właściciela witryny i zapisywanie nieograniczonej liczby rekordów w bazie danych witryny.

Tronclass opracowany przez WisdomGarden ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Zdalni uwierzytelnieni atakujący mogą zmodyfikować konkretny parametr, aby wyświetlić wyniki oceny rówieśniczej dowolnego studenta.

Tronclass opracowany przez WisdomGarden ma podatność na ujawnienie wrażliwych danych. Zdalni uwierzytelnieni atakujący mogą ominąć ograniczenia anonimowego oceniania i uzyskać anonimowe informacje o studentach.

Tronclass opracowany przez WisdomGarden ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Zdalni uwierzytelnieni atakujący mogą zmodyfikować konkretny parametr, aby zmienić wyniki oceny rówieśniczej dowolnego studenta.

Wtyczka Sunshine Photo Cart dla WordPressa przed wersją 3.7.4 nie sprawdza, czy odwiedzający ma uprawnienia dostępu do ograniczonej galerii przed przyjęciem komentarzy do jej zdjęć, podczas gdy wykonuje to sprawdzenie przy wyświetlaniu komentarzy, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie treści wybranej przez atakującego z wybraną nazwą autora i adresem e-mail do galerii, które właściciel ograniczył (chronionych hasłem, dostępnych po e-mailu, prywatnych, tylko dla kont lub wygasłych).

Wtyczka WP Encryption dla WordPressa przed wersją 7.8.8.2 nie wykonuje kontroli uprawnień ani nonce na jednym z handlerów obsługujących procedurę dostarczania certyfikatów SSL, co pozwala nieuwierzytelnionym użytkownikom na nadpisanie prywatnego klucza certyfikatu witryny i zastąpienie oczekującego zamówienia Let's Encrypt oraz materiału wyzwania pojedynczym żądaniem. Powtarzane żądania ciągle regenerują materiał, uniemożliwiając administratorowi dokończenie wydawania certyfikatu.

Wtyczka GamiPress dla WordPressa przed wersją 8.0.6 nie autoryzuje poprawnie dostępu do prywatnych wpisów dziennika aktywności, co pozwala nieuwierzytelnionym użytkownikom na pobieranie prywatnych dzienników aktywności wszystkich użytkowników. Jest to niepełna poprawka CVE-2026-13450.

Wtyczka WordPress GamiPress przed wersją 8.0.6 nie sprawdza uprawnień ani własności w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, np. Subskrybentowi, odczytać dowolne wpisy z dziennika aktywności, w tym salda punktów i osiągnięcia innych użytkowników oraz nazwy administratorów wykonujących ręczne operacje na punktach.

Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.16 nie escapuje wartości konfiguracji lightboxa galerii przed wypisaniem ich do skryptu inline na każdej stronie osadzającej galerię. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie kodu JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.

Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani sanityzacji danych wejściowych przed zapisaniem niektórych wartości z żądania. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie kodu HTML i linków, które są renderowane dla odwiedzających sklep.

Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani walidacji na jednej ze swoich tras REST, która zapisuje do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację niektórych zapisanych ustawień wtyczki.

Wtyczka WordPress Classified Listing przed wersją 6.1.1 nie weryfikuje, czy żądający jest właścicielem lub może edytować docelowy wpis, gdy żądanie galerii odnosi się do niezałączonego elementu multimedialnego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z kontem na poziomie subskrybenta modyfikowanie, uszkodzenie lub usunięcie załączników biblioteki multimedialnej należących do innych użytkowników, w tym administratorów.

Wtyczka WordPress Gutenverse Form przed wersją 3.0.11 nie sanityzuje znaczników ikon SVG przechowywanych w blokach formularzy przed ich zdekodowaniem i wstawieniem do strony w przeglądarce. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie złośliwego SVG, który wykonuje JavaScript w sesji każdego użytkownika przeglądającego lub podglądającego dotknięty formularz, np. administratora sprawdzającego oczekujący wpis.

Wtyczka WordPress NEX-Forms przed wersją 9.3.1 nie wykonuje żadnych kontroli autoryzacji, własności ani walidacji żądań przed aktualizacją zapisanych wpisów formularzy. Umożliwia to nieuwierzytelnionym atakującym nadpisanie, trwałe usunięcie, ponowne przypisanie lub dołączenie do dowolnego wcześniej przesłanego wpisu formularza poprzez odniesienie się do jego sekwencyjnego identyfikatora.

Wtyczka WordPress WP Data Access przed wersją 5.5.84 nie ogranicza akcji eksportu tabel bazy danych do autoryzowanych użytkowników, zabezpieczając ją jedynie tokenem, który wtyczka sama wypisuje na publicznych stronach wyświetlających tabelę. Umożliwia to nieuwierzytelnionym atakującym eksport pełnej zawartości dowolnej publicznie wyświetlanej tabeli, w tym kolumn i wierszy ukrytych przed odwiedzającymi.

Wtyczka WordPress WP Data Access przed wersją 5.5.77 nie sprawdza poprawnie autoryzacji na jednym ze swoich punktów końcowych REST aplikacji, weryfikując tylko uprawnienia do odczytu przed wykonaniem zapisu. Umożliwia to nieuwierzytelnionym atakującym modyfikację danych w aplikacji udostępnionej do anonimowego odczytu, nawet gdy akcje aktualizacji zostały wyłączone przez administratora.

Wtyczka CamPay Shortcode Payment Gateway dla WordPressa przed wersją 1.7 nie weryfikuje autentyczności potwierdzeń płatności Mobile Money i wyprowadza wynik płatności z parametrów dostarczanych przez klienta, co pozwala nieuwierzytelnionym atakującym oznaczać rekordy płatności jako opłacone, niszczyć prawdziwe rekordy płatności oraz zapisywać meta wtyczki na dowolnych postach.