Katalog podatności CVE

Wtyczka Nelio Content – Editorial Calendar & Social Media Auto-Posting dla WordPressa jest podatna na obejście autoryzacji w wszystkich wersjach do 4.5.0 włącznie, z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej trwałe usunięcie dowolnych wielokrotnego użytku wiadomości społecznościowych (nc_reusable_social post), w tym tych utworzonych przez administratorów lub innych uprzywilejowanych użytkowników.

Wtyczka Mail logging – WP Mail Catcher dla WordPressa jest podatna na Stored Cross-Site Scripting przez komunikat błędu PHPMailer 'wp_mail_failed' w wszystkich wersjach do 2.1.12 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga osobno zainstalowanej wtyczki, takiej jak Contact Form 7, która przekazuje nieuwierzytelnione dane wejściowe do pól poczty, których treść PHPMailer umieszcza w komunikacie błędu.

Wtyczka WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System dla WordPressa jest podatna na Local File Inclusion w wszystkich wersjach do 3.0.18 włącznie przez funkcję (template scope). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej dołączanie i wykonywanie dowolnych plików .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP w tych plikach. Może to być użyte do obejścia kontroli dostępu, uzyskania wrażliwych danych lub osiągnięcia wykonania kodu, jeśli pliki .php mogą być przesłane i dołączone.

Wtyczka Smart Manager dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'access_privileges' w wersjach do 8.97.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy tylko wtedy, gdy administrator zapisał konfigurację listy odmów opartą na rolach, która nie blokuje wewnętrznego modułu 'access-privilege'.

Wtyczka Visitor Traffic Real Time Statistics dla WordPressa jest podatna na przechowywane ataki XSS (DOM-based) przez nagłówek HTTP 'X-Real-IP' w wersjach do 8.16 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak nie wymaga uwierzytelnienia, nonce ani żadnych uprawnień.

Wtyczka Simple Membership dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnianie wrażliwych informacji w wersjach do 4.8.3 włącznie przez punkty końcowe resend-activation i email-activation. Nieuwierzytelnieni atakujący mogą przekierować e-mail aktywacyjny oczekującego członka, a także e-mail z nazwą użytkownika i hasłem w postaci zwykłego tekstu, na wybrane przez siebie adresy, a następnie aktywować konto bez zgody członka.

Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.

Wtyczka Transliterator dla WordPressa jest podatna na przechowywane ataki XSS przez treść komentarzy z użyciem przewidywalnego placeholderu {rstr_keep} w wersjach do 2.5.8 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload przetrwa sanitizację komentarzy WordPressa, ponieważ używane tagi i atrybuty są dozwolone przez listę kses.

Wtyczka SEOPress dla WordPressa jest podatna na przechowywane ataki XSS przez wyświetlaną nazwę autora w wersjach do 10.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga skonfigurowania wymiaru niestandardowego 'Track Authors' w ustawieniach Google Analytics 4 lub Matomo oraz możliwości publikowania treści przez atakującego.

Wtyczka GD Rating System dla WordPressa jest podatna na przechowywane ataki XSS przez argumenty renderowania 'title' i 'url' w AJAX-ie gdrts_live_handler w wersjach do 3.7.1 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nonce wymagany przez AJAX jest publicznie emitowany w bloku JSON na każdej stronie renderującej element oceny.

Wtyczka WordPress TillKit w wersji przed 1.0.5 nie wymaga zmiany zaszyfrowanego, publicznie znanego PIN-u uprzywilejowanego konta POS tworzonego przy aktywacji. Uwierzytelnia publiczny punkt logowania POS wyłącznie na podstawie tego PIN-u, bez sprawdzania tożsamości lub uprawnień, co umożliwia nieuwierzytelnionym atakującym uzyskanie uprzywilejowanej sesji POS i odczyt danych osobowych klientów oraz użytkowników witryny, a także modyfikację danych sklepu.

Wtyczka WordPress SaveTo Wishlist Lite w wersji przed 1.1.5 nie sanityzuje ani nie escapuje parametrów przed użyciem ich w klauzuli ORDER BY zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączenie dodatkowych zapytań SQL i wydobycie wrażliwych informacji z bazy danych.

Wtyczka Kubio AI Page Builder dla WordPressa przed wersją 2.9.3 nie ogranicza rozszerzonego zestawu dozwolonych elementów HTML tylko do kontekstu edytora, przez co szerszy zestaw jest stosowany również podczas filtrowania treści przesyłanych przez nieuwierzytelnionych użytkowników. Pozwala to na przechowywanie znaczników, które skrypt wtyczki wykonuje później w przeglądarce każdego odwiedzającego lub administratora przeglądającego niezatwierdzoną jeszcze treść.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na przechowywane ataki XSS przez parametry powiadomień o rozliczeniach w wersjach do 2.12.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Punkt końcowy IPN akceptuje parametry 'rel' i 'option' bez uwierzytelnienia, walidacji nonce ani weryfikacji podpisu.

Wtyczka GeoDirectory dla WordPressa jest podatna na wstrzykiwanie SQL przez przechowywane współrzędne geograficzne (latitude/longitude) wpisu w wersjach do 2.8.186 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy przez publiczny handler wp_ajax_nopriv_geodir_widget_listings z parametrami set_post i sort_by.

Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.

Wtyczka Magic Tooltips For Contact Form 7 dla WordPressa jest podatna na przechowywane ataki XSS przez parametr 'author' w wersjach do 1.0.34 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak jest możliwy, ponieważ filtr esc_html wtyczki dekoduje payloady zakodowane w encjach HTML z powrotem do żywego HTML.

Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie uniemożliwia nieuwierzytelnionym użytkownikom zapisania spreparowanej treści recenzji, która powoduje błąd krytyczny recenzowanej strony przy każdej kolejnej wizycie. Prowadzi to do trwałego ataku typu denial of service, gdy ustawienia wyświetlania recenzji nigdy nie były zapisywane.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie sprawdza, czy przesłana ocena recenzji jest wartością liczbową, zanim ją zapisze i użyje w operacjach numerycznych przy renderowaniu recenzji. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie błędu krytycznego recenzowanej treści dla wszystkich odwiedzających do czasu usunięcia recenzji (trwały denial of service), gdy recenzje użytkowników są włączone.