Katalog podatności CVE

Wtyczka Redux Framework dla WordPressa jest podatna na obejście autoryzacji w wersjach do 4.5.15 włącznie z powodu niewłaściwej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wyświetlić cały ładunek opcji Redux, w tym wartości pól haseł, klucze API, klucze licencyjne i dane SMTP, ujawnione w bloku JavaScript na stronie profilu. Rozszerzenie Users jest ładowane automatycznie dla każdej instancji Redux, więc każda witryna z Redux Framework jest narażona.

Wtyczka User Frontend dla WordPressa jest podatna na odbite XSS poprzez parametr 'field_attr[required]' w wersjach do 4.3.13 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku. Sprawdzenie nonce nie stanowi bariery, ponieważ wartość wpuf_nonce jest publicznie dostępna dla każdego anonimowego odwiedzającego.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa (do wersji 3.2.2) jest podatna na obejście uwierzytelniania. Callback REST logowania społecznościowego lokalizuje konto po adresie e-mail zwróconym przez dostawcę OAuth i ustawia ciasteczko uwierzytelniające bez sprawdzania hasła, a jedyny warunek weryfikacji jest nieskuteczny dla wbudowanych adapterów Facebook i Twitter. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie sesji dowolnego użytkownika, w tym administratora, jeśli kontroluje konto OAuth o pasującym adresie e-mail.

Wtyczka WP2LEADS dla WordPressa jest podatna na czasową SQL Injection poprzez parametr 'order' w wersjach do 3.5.6 włącznie z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączyć dodatkowe zapytania SQL w celu wyodrębnienia poufnych informacji z bazy danych.

Wtyczka Perfect Images dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API /wp-json/wp-retina-2x/v1/replace w wersjach do 7.2.0 włącznie. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może zastąpić pliki, które do niego nie należą.

Wtyczka Seraphinite Accelerator dla WordPressa jest podatna na ujawnienie poufnych informacji w wersjach do 2.29.24 włącznie poprzez WP_Object_Cache::_getFilePath. Nieuwierzytelniony atakujący może wyodrębnić pełne rekordy użytkowników WordPressa — w tym jawny user_login, user_email, zahaszowany user_pass i user_activation_key — z przewidywalnych plików cache gzip-serialized w wp-content/cache/seraphinite-accelerator/oc/g/users/g/<USER_ID>.dat.gz. Podatność jest wykorzystywana tylko gdy funkcja Object Cache jest włączona i wymaga wcześniejszego wywołania buforowania rekordu użytkownika (np. przez nieuwierzytelnione żądanie REST API) przed pobraniem pliku cache.

Wtyczka Popup Builder dla WordPressa w wersjach do 4.4.5 włącznie nie weryfikuje uprawnień użytkownika do wykonywania akcji. Nieuwierzytelniony atakujący może jednym żądaniem GET przenieść do kosza wszystkie opublikowane popupy w serwisie, a dodatkowa wada w SGPopup::find() powoduje, że atak dotyczy wszystkich popupów jednocześnie.

Wtyczka Product Filter for WooCommerce by WBW jest podatna na odbity XSS poprzez parametr JSON 'wpf_fid' w wersjach do 3.4.6 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku. Podatność utrzymuje się w wersjach z poprawką 3.4.3, ponieważ absint() zastosowano tylko na ścieżce odczytu getVar(), pozostawiając wartość wpf_fid odczytywaną z zdekodowanego JSON payload filterSettings całkowicie niesanityzowaną.

Wtyczka Mail logging & Catcher dla WordPressa w wersjach do 2.2.0 włącznie pozwala na ujawnienie wrażliwych informacji przez parametr 'message'. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może wyciągnąć z zapisanych logów e-mail klucze resetowania hasła administratora i przejąć konto administratora.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonej minifikacji HTML z domyślnym wpisem 'mfunc' na liście ignorowanych komentarzy, a wykorzystanie zależy od przewidzenia przez atakującego przestrzeni nazw md5(time()) poprzez odczyt zegara serwera z nagłówka HTTP Date w odpowiednim oknie czasowym.

Wtyczka Product Filter for WooCommerce by WBW jest podatna na brak autoryzacji / ujawnienie informacji w wersjach do 3.4.6 włącznie poprzez parametr 'filterSettings[default_query]' akcji AJAX 'filtersFrontend'. Handler jest zarejestrowany jako 'wp_ajax_nopriv_filtersFrontend' i nie wykonuje żadnego sprawdzenia uprawnień ani nonce; surowe dane POST są dekodowane JSON do $filterSettings, a kontrolowana przez atakującego tablica 'default_query' jest bezwarunkowo łączona array_merge() z argumentami WP_Query, nadpisując bezpieczne domyślne ustawienia wtyczki (zwłaszcza post_status, post_type, posts_per_page i nopaging). Umożliwia to nieuwierzytelnionym atakującym wyliczenie niepublicznych produktów WooCommerce (szkiców, przyszłych, oczekujących) — w tym ich liczby i renderowanego znacznika listy — oraz wymuszenie nieograniczonych zapytań ładujących wszystkie produkty w jednym żądaniu.

Wtyczka UsersWP dla WordPressa jest podatna na nieautoryzowany dostęp do konta poprzez użycie przewidywalnego hasła w wersjach do 1.2.78 włącznie. Podatność polega na tym, że get_dummy_user_passowrd() wyprowadza wspólne hasło dla wszystkich 25 wbudowanych kont dummy jako pierwsze 15 znaków z substr(hash('SHA256', AUTH_KEY . site_url()), 0, 25), podczas gdy pełna 25-znakowa wartość tego samego hasha jest jednocześnie osadzona w ukrytym polu 'uwp_register_hash' renderowanym w każdej odpowiedzi formularza rejestracji — dostępnym bez uwierzytelnienia zarówno przez publiczną stronę /register/, jak i handler AJAX wp_ajax_nopriv_uwp_ajax_register_form, nawet gdy rejestracja użytkowników jest wyłączona. Umożliwia to nieuwierzytelnionym atakującym odzyskanie hasła dummy bezpośrednio z jednego żądania HTTP i użycie go do uwierzytelnienia jako dowolne z 25 wbudowanych kont dummy (np. antawn, chynna, kiki) przez wp-login.php, potencjalnie prowadząc do eskalacji uprawnień, jeśli któreś konto dummy ma podwyższoną rolę. Wykorzystanie wymaga, aby administrator wcześniej utworzył konta dummy przez stronę Tools wtyczki.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 2.12.5 włącznie, poprzez parametr 'member[ID]'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala nieuwierzytelnionemu atakującemu nadpisać adres e-mail i hasło dowolnego konta członka sklepu Welcart, a następnie przejąć to konto.

Wtyczka FunnelKit Automations dla WordPressa i WooCommerce w wersjach do 3.8.5.2 włącznie jest podatna na czasową iniekcję SQL przez parametr 'bwfan_cart_id'. Nieuwierzytelniony atakujący może wstrzyknąć dodatkowe zapytania SQL podczas składania zamówienia gościa, a iniekcja uruchamia się przy późniejszym zadaniu Action Scheduler.

Wtyczka User Submitted Posts dla WordPressa w wersjach do 20260916 włącznie jest podatna na przechowywany XSS oparty na DOM przez parametr 'user-submitted-content'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka ThirstyAffiliates dla WordPressa w wersjach do 3.12.1 włącznie jest podatna na przechowywany XSS przez parametr 'comment'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Shipping Zones by Drawing for WooCommerce w wersjach do 3.3.0 włącznie jest podatna na przechowywany XSS przez parametr 'szbd-picked' przy kasie. Nieuwierzytelniony atakujący może wstrzyknąć dowolne atrybuty do linku Google Maps w widoku zamówienia administratora, które wykonają się, gdy administrator otworzy zamówienie.

Wtyczka Welcart e-Commerce dla WordPressa w wersjach do 2.12.5 włącznie jest podatna na przechowywany XSS przez parametr 'gid'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy administrator otworzy zamówienie w panelu WordPressa.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na przechowywany XSS przez parametr 'optionals'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.