Katalog podatności CVE

Wtyczka Events Made Easy dla WordPressa w wersjach do 3.3.1 włącznie jest podatna na przechowywany cross-site scripting przez parametr 'width' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Cool FormKit Lite dla Elementora w wersjach do 2.7.9 włącznie jest podatna na przechowywany DOM-based cross-site scripting przez parametr '_elementor_data.form_fields[].custom_id' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Page and Post Restriction dla WordPressa w wersjach do 1.6.1 włącznie jest podatna na obejście uwierzytelniania. Funkcja papr_restrict_page_post_rest_api() ponownie uwierzytelnia użytkownika na podstawie ciasteczka wordpress_logged_in bez weryfikacji nonce REST, co w połączeniu z permisywnym CORS REST pozwala nieuwierzytelnionemu atakującemu odczytywać odpowiedzi REST API jako zalogowana ofiara.

Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.

Wtyczka Fraud Prevention For WooCommerce and EDD dla WordPressa w wersjach przed 2.3.6 nie sprawdza, czy użytkownik ma uprawnienia do zarządzania zamówieniami, zanim pozwoli mu dodać dane klienta zamówienia do czarnej listy oszustw. Umożliwia to użytkownikom z rolą subskrybenta i wyższą blokowanie składania zamówień przez dowolnych legalnych klientów.

Wtyczka WordPress Joinchat przed wersją 6.4.2 nie escapuje komunikatu bloku przycisku przed wyświetleniem go w atrybucie HTML na stronie frontowej. Umożliwia to użytkownikom z rolą Author i wyższą przeprowadzanie ataków Stored Cross-Site Scripting wymierzonych w każdego odwiedzającego wpis, w tym administratorów.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzanie ataków SQL injection.

Wtyczka WordPress User Frontend przed wersją 4.3.14 nie sanityzuje ani nie escapuje niektórych wartości dostarczanych przez użytkownika przed odzwierciedleniem ich w atrybutach HTML w publicznie dostępnej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting. Dotknięta akcja jest chroniona nonce dla anonimowych użytkowników, który jest ważny tylko dla żądań niezalogowanych, więc ładunek wykonuje się wobec niezalogowanych odwiedzających, a nie uwierzytelnionych użytkowników.

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie ogranicza przeglądarki plików File System Watcher do Super Adminów ani do plików, które legalnie śledzi. Pozwala to administratorowi niebędącemu Super Adminem, w tym administratorowi podstrony w multisite WordPress, na odczyt zawartości wrażliwych śledzonych plików, takich jak główny plik konfiguracyjny, i ujawnienie kluczy uwierzytelniania, soli oraz, w standardowej instalacji, danych dostępowych do bazy danych.

Wtyczka Forminator Forms dla WordPressa jest podatna na ograniczone usuwanie plików we wszystkich wersjach do 1.55.0.2 włącznie. Wtyczka przyjmuje dowolne metadane pola upload z żądań POST w szkicach bez odpowiedniej walidacji, co jest wykorzystywane do usuwania plików, gdy kolejny szkic odwołuje się do zatrutego szkicu poprzez parametr previous_draft_id. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików nie-PHP w katalogu wp-content/uploads/.

Moduł Xray Audit dla Drupala zawiera podatność typu brak autoryzacji, która umożliwia atakującemu wymuszone przeglądanie (forceful browsing) niedozwolonych zasobów. Problem dotyczy wersji od 0.0.0 do 1.6.3, od 2.0.0 do 2.0.4 oraz od 3.0.0 do 3.1.1.

Podatność Missing Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41 oraz od 3.0.0 do 3.3.13.

Podatność w module Drupal Domain Login Restrict umożliwia obejście uwierzytelniania poprzez użycie alternatywnej ścieżki lub kanału. Problem dotyczy wersji od 0.0.0 do 1.5.0.

Moduł Examples for Developers dla Drupala zawiera podatność polegającą na alokacji zasobów bez limitów lub ograniczeń, co umożliwia nadmierną alokację. Problem dotyczy wersji od 0.0.0 do 4.0.7.

Moduł Freelinking dla Drupala zawiera podatność Server-Side Request Forgery (SSRF), która pozwala na wykonanie żądań po stronie serwera. Problem dotyczy wersji od 0.0.0 do 4.0.3.

Moduł SmartLinker AI dla Drupala zawiera podatność typu nieprawidłowa autoryzacja, która umożliwia wymuszone przeglądanie (forceful browsing). Problem dotyczy wersji od 0.0.0 do 1.0.3.

Moduł Two Factor Authentication - TFA / Passwordless Login dla Drupala zawiera podatność polegającą na wstawieniu poufnych informacji do wysyłanych danych, co umożliwia wymuszone przeglądanie (forceful browsing). Problem dotyczy wersji od 0.0.0 do 5.4.1 oraz od 5.5.0 do 5.5.2.

Moduł DKAN dla Drupala zawiera podatność typu brak autoryzacji, która umożliwia wymuszone przeglądanie (forceful browsing). Problem dotyczy wersji od 0.0.0 do 4.0.4 oraz od 4.1.0 do 4.1.5.