Katalog podatności CVE

Wtyczka SiteOrigin Widgets Bundle dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 1.74.3 włącznie, poprzez funkcję get_instance_css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Normalny proces aktualizacji/dezynfekcji danych wejściowych jest całkowicie pomijany, ponieważ handler shortcode'a wywołuje bezpośrednio funkcję widget() na dostarczonym przez atakującego zdekodowanym JSON.

Wtyczka User Frontend dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'wpuf_payment_method' we wszystkich wersjach do 4.3.12 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Technika obejścia polega na dodaniu prawidłowego słowa kluczowego bramki, takiego jak 'bank', do ładunku HTML, co powoduje, że funkcja sanitize_text_field() zwraca tylko słowo kluczowe do celów routingu, podczas gdy pełna złośliwa wartość jest przechowywana i później renderowana bez escapowania.

Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez fragment URL '#response' we wszystkich wersjach do 4.0.17 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Generic Errors' było odznaczone, co powoduje, że funkcja getErrorMessage() zwraca niezmieniony surowy ciąg błędu Stripe zamiast podstawić zmapowany bezpieczny komunikat.

Wtyczka Frontend Admin by DynamiApps dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez obejście kses / mutację XSS we wszystkich wersjach do 3.28.36 włącznie. Wynika to z funkcji 'get_dynamic_values', która wykonuje operacje znajdowania i zamiany na poziomie tekstu na treści postów bez parsowania uwzględniającego HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Favicon Rotator dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametry żądania z prefiksem 'fvrt_' we wszystkich wersjach do 1.2.11 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka CV Builder – Professional Resume Builder SaaS dla WordPressa jest podatna na nieautoryzowane przesyłanie dowolnych plików z powodu braku sprawdzenia uprawnień w funkcji 'wp_save_signature_image' we wszystkich wersjach do 1.3.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnej treści do katalogu uploads WordPressa jako pliki png.

Wtyczka Fluent Forms dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 6.2.5 włącznie. Wynika to z tego, że wtyczka nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym odczyt prywatnych zgłoszeń formularzy, zmianę statusów zgłoszeń, trwałe usuwanie zgłoszeń oraz modyfikację globalnych ustawień wtyczki.

Wtyczka WP Booking System – Booking Calendar dla WordPressa jest podatna na czasową iniekcję SQL poprzez parametr 'current_month' we wszystkich wersjach do 2.1.0.1 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Jest to podatność regresyjna — sprawdzenie uprawnień wprowadzone w wersjach 2.0.19.11–2.0.19.14 w celu rozwiązania CVE-2024-50425 zostało usunięte w wersji 2.1, co oznacza, że każde uwierzytelnione konto na poziomie subskrybenta może dotrzeć do podatnego handlera bez wymaganej walidacji nonce.

Wtyczka Responsive Lightbox & Gallery dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'comment' we wszystkich wersjach do 2.7.9 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Comments' lightbox było włączone (domyślnie wyłączone), moderator zatwierdził wstrzyknięty komentarz, a odwiedzający witrynę kliknął zainfekowany obraz, aby otworzyć lightbox.

Wtyczka Simple Membership dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'country' we wszystkich wersjach do 4.8.4 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelnieni atakujący mogą również wykorzystać tę podatność, gdy włączona jest funkcja 'Enable Free Membership', ponieważ umożliwia ona anonimową rejestrację na froncie i przesyłanie profili.

Wtyczka The Team – Team Members Showcase dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'ttp_filter_taxonomy' we wszystkich wersjach do 6.0.2 włącznie. Atak umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony.

Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPressa jest podatna na przechowywany atak XSS poprzez shortcode 'givewp_campaign_grid' w wersjach do 4.17.0 włącznie. Podatność wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego escapowania atrybutów shortcode, co pozwala na wstrzyknięcie skryptów.

Wtyczka Church Admin dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'email' we wszystkich wersjach do 5.1.2 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na wstrzyknięcie skryptów.

Wtyczka Order Export & Order Import dla WooCommerce jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.7.8 włącznie. Nieuwierzytelnieni atakujący mogą pobrać wyeksportowane pliki CSV z zamówieniami zawierające dane osobowe klientów, jeśli w katalogu eksportu brakuje plików .htaccess i index.php.

Wtyczka Getwid – Gutenberg Blocks dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'data-image-points' we wszystkich wersjach do 3.0.1 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym na wstrzyknięcie skryptów.

Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołania do obiektów / brak autoryzacji w wersjach do 5.7.2 włącznie. Nieuwierzytelnieni atakujący mogą tworzyć zatwierdzone wizyty dotyczące pozycji zamówień innych klientów oraz odczytywać ich dane osobowe.

Wtyczka Tutor LMS dla WordPressa w wersjach przed 4.1.1 nie weryfikuje, że posty wskazane w żądaniach zmiany kolejności treści kursu należą do kursu zarządzanego przez żądającego. Umożliwia to użytkownikom z uprawnieniami instruktora przypisanie dowolnego posta w serwisie do własnego kursu, przejmując treści innych instruktorów i czyniąc dowolną opublikowaną treść niedostępną.

Wtyczka Table Field Add-on for ACF i SCF dla WordPressa jest podatna na przechowywany atak XSS poprzez zawartość komórek tabeli we wszystkich wersjach do 1.3.35 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym na wstrzyknięcie skryptów.

Wtyczka Embed Any Document – Embed PDF, Word, PowerPoint i Excel Files dla WordPressa jest podatna na przechowywany atak XSS poprzez shortcode 'embeddoc' we wszystkich wersjach do 2.7.13 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym na wstrzyknięcie skryptów.

Wtyczka Booking Calendar dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 11.4.3 włącznie. Nieuwierzytelnieni atakujący mogą wyodrębnić dane osobowe klientów, takie jak imiona, adresy e-mail i numery telefonów, które dokonały rezerwacji.