Katalog podatności CVE

Motyw Graphene dla WordPressa jest podatny na przechowywany atak XSS poprzez pola profilu 'Current location' i 'Author profile image URL' we wszystkich wersjach do 2.9.4 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na wstrzyknięcie skryptów.

Wtyczka MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybuty shortcode we wszystkich wersjach do 5.14.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Mechanizm wp_kses_post nie neutralizuje ładunku, ponieważ atak odbywa się przez atrybuty shortcode, a nie surowy HTML.

Wtyczka Brizy – Page Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'brizy-compiled-sections' we wszystkich wersjach do 2.8.18 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'id' we wszystkich wersjach do 1.12.03 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka GamiPress – Gamification plugin to reward points, achievements, badges & ranks dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'video_id' we wszystkich wersjach do 7.9.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Download Manager dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'REFERRER' we wszystkich wersjach do 3.3.57 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce ofiary.

Wtyczka Gallery PhotoBlocks dla WordPressa przed wersją 1.3.6 nie dezynfekuje i nie escapuje jednego z ustawień galerii przed wyświetleniem go w atrybucie HTML, co pozwala użytkownikom z poziomem dostępu Contributor i wyższym na przechowywanie JavaScript, który wykonuje się w przeglądarce każdego, kto przegląda stronę zawierającą galerię, w tym administratorów.

Wtyczka W3 Total Cache dla WordPressa przed wersją 2.10.6 nie ogranicza kopiowania plików podczas importu mediów do katalogu głównego dokumentu ani nie egzekwuje skutecznego ograniczenia typu pliku, co pozwala użytkownikom z rolą Author lub wyższą na umieszczenie treści, która po uruchomieniu importu przez administratora kopiuje dowolny plik czytelny dla serwera do publicznie dostępnego katalogu, narażając go na nieuwierzytelnione pobranie.

Wtyczka Contest Gallery dla WordPressa przed wersją 33.0.1 nie ogranicza liczby prób w kroku weryfikacji e-maila podczas rejestracji front-end, który opiera się na krótkim numerycznym PIN-ie, co pozwala nieuwierzytelnionym atakującym na brutalne złamanie PIN-u i utworzenie oraz aktywację konta WordPress powiązanego z adresem e-mail, którego nie posiadają, uzyskując uwierzytelnioną sesję.

Wtyczka Booking Package dla WordPressa przed wersją 1.7.30 nie przeprowadza kontroli autoryzacji przed zwróceniem przechowywanych danych rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie danych osobowych innych klientów oraz tokenów anulowania rezerwacji.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji przed eksportem przechowywanych zgłoszeń formularzy, co pozwala nieuwierzytelnionym atakującym na pobranie danych osobowych (imię, e-mail, telefon, adres pocztowy, wiadomość) oraz metadanych płatności wszystkich osób, które wysłały formularz płatności.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji ani walidacji żądań w jednej ze swoich akcji AJAX, co pozwala nieuwierzytelnionym atakującym na sfałszowanie przechowywanego statusu transakcji rekordów oraz zapisanie metadanych statusu wtyczki na dowolnych postach.

Wtyczka Portfolio Filter Gallery dla WordPressa przed wersją 2.2.1 nie przeprowadza odpowiednich kontroli autoryzacji w zestawie akcji AJAX, co pozwala użytkownikom z co najmniej rolą Contributor na odczyt, modyfikację i usuwanie galerii innych użytkowników oraz filtrów galerii na poziomie całej witryny.

Wtyczka Post Export Import with Media dla WordPressa jest podatna na podatność Directory Traversal we wszystkich wersjach do 1.17.1 włącznie, poprzez parametr 'file_path'. Uwierzytelniony atakujący z uprawnieniami co najmniej administratora może odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje. Wymaga to przesłania spreparowanego archiwum ZIP zawierającego plik media_metadata.json z sekwencjami przejścia ścieżki w polu file_path, przy jednoczesnym podaniu dozwolonego rozszerzenia pliku docelowego, aby obejść zabezpieczenie wprowadzone w wersji 1.13.2.

Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.12 włącznie jest podatna na przechowywany atak XSS poprzez atrybut Block Font Family. Atak wymaga włączenia opcji "Load Google Fonts Locally", co nie jest domyślną konfiguracją.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków SQL injection.

Wtyczka Smart Popup by Supsystic dla WordPressa do wersji 1.13.2 włącznie jest podatna na SQL Injection przez parametr 'sidx'. Brakuje odpowiedniego escapowania i przygotowania zapytań SQL.

Wtyczka JetFormBuilder dla WordPressa do wersji 3.6.6 włącznie jest podatna na Reflected DOM-Based XSS przez parametr nazwy zapytania pasujący do ustawienia query_var presetu. Wymaga to formularza z polem tekstowym skonfigurowanym z query_var Dynamic Preset i odwołaniem makra.

Wtyczka HivePress dla WordPressa do wersji 1.7.31 włącznie jest podatna na przechowywany XSS przez parametr 'custom text attribute'. Wymaga to skonfigurowania atrybutu tekstowego z formatem wyświetlania umieszczającym token %value% wewnątrz atrybutu HTML.

Wtyczka Simple Newsletter Plugin – Noptin dla WordPressa do wersji 4.3.10 włącznie jest podatna na przechowywany XSS przez parametr 'noptin_fields[<custom_field_merge_tag>]'. Atak wymaga opublikowanej kampanii z tagiem [[subscriber.*]] i wykorzystuje formularz manage_preferences.