Katalog podatności CVE

Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'degreetitle' w wersjach do 2.7.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Relevanssi dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.28.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego indeksowania i podświetlania komentarzy oraz wejścia przez link z wyników wyszukiwania z parametrem podświetlenia.

Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to wcześniej aktywnej licencji Pro z włączonym buforowaniem REST, która stała się nieaktywna, ale buforowanie stron Disk Enhanced pozostaje skonfigurowane, oraz atakujący musi mieć wcześniej zatwierdzoną tożsamość komentatora.

Wtyczka Webmention dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez tag meta Open Graph og:title źródłowego URL webmention w wersjach do 5.10.1 włącznie. Z powodu niewystarczającej sanityzacji danych wejściowych, nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się po zatwierdzeniu przez administratora oczekującego komentarza webmention.

Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na nieautoryzowane usuwanie plików z biblioteki mediów w wersjach do 1.2.31 włącznie. Funkcja delete_reviews_image() ufa identyfikatorom załączników dostarczonym przez parametr POST wcpr_image_upload_id, które są przechowywane w metadanych komentarza bez sprawdzenia własności lub uprawnień, co pozwala nieuwierzytelnionemu atakującemu na trwałe usunięcie dowolnego załącznika.

Wtyczka Hustle dla WordPressa jest podatna na obejście autoryzacji w wersjach do 7.8.14.3 włącznie. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z niestandardowym poziomem dostępu może nadpisać dane uwierzytelniające integracji ESP (AWeber, Constant Contact, Infusionsoft, ConvertKit, HubSpot) i przekierować zgłoszenia formularzy do swojego tenanta, a w przypadku HubSpot usunąć tokeny OAuth.

Wtyczka PDF Invoice for WooCommerce + Drag and Drop Template Builder w wersjach do 7.1.1 włącznie jest podatna na wstrzyknięcie obiektu PHP przez parametr 'customer_note'. Pole uwag klienta przy kasie jest niewystarczająco oczyszczane i trafia do unserialize() bez walidacji, co pozwala nieuwierzytelnionemu atakującemu na wykonanie kodu na serwerze.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na ujawnienie poufnych informacji w wersjach do 5.16.5 włącznie poprzez parametr 'invoice_number' (poprzez nazwę pliku dokumentu). Nieuwierzytelniony atakujący może uzyskać pełny plik PDF faktury innego klienta, zawierający dane rozliczeniowe, adres wysyłki, prywatne notatki do zamówienia, pozycje, ceny, daty, ID zamówienia i numer faktury, dostarczony bezpośrednio na e-mail atakującego jako załącznik potwierdzenia zamówienia.

Wtyczka Discussion Board – WordPress Forum Plugin jest podatna na przechowywany Cross-Site Scripting (XSS) w wersjach do 2.6.0 włącznie poprzez pole Website (user_url) w profilu użytkownika. Z powodu niewystarczającego escapowania danych wyjściowych w funkcji ctdb_filter_comment_author_name(), uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi temat zawierający odpowiedź atakującego.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.

Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.

Wtyczka WordPress Payable Payment Gateway for WooCommerce w wersji przed 1.3.1 nie weryfikuje autentyczności przychodzącego powiadomienia o płatności przed oznaczeniem zamówienia WooCommerce jako opłaconego lub nieudanego. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu płatności dowolnego zamówienia w sklepie, niezależnie od metody płatności.

Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa w wersjach do 2.20.4 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji '__construct'. Umożliwia to nieuwierzytelnionym atakującym usunięcie plików motywu na serwerze.

Wtyczka WordPress Quick Event Manager w wersji przed 9.19 nie weryfikuje statusu ani typu żądanego wpisu przed zwróceniem jego szczegółów przez eksport kalendarza. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści wersji roboczych i prywatnych wpisów.

WordPress Core w wersjach 4.7–7.1.3 jest podatny na zdalne wykonanie kodu (RCE) z powodu przewidywalnych, dostępnych przez sieć ścieżek staging używanych podczas pełnych aktualizacji pakietu rdzenia. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze w oknie aktualizacji.

Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.

Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.

Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.

Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.