Katalog podatności CVE

Wtyczka Event Tickets and Registration dla WordPressa jest podatna na ogólną injekcję SQL poprzez parametr 'orderby' we wszystkich wersjach do 5.29.5 włącznie, z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Użytkownik na poziomie Contributor może osiągnąć podatną ścieżkę kodu, podając post_id, którego jest autorem, ponieważ brama can_access_page() wymaga jedynie autorstwa posta, a nie uprawnienia edit_others_posts dla właścicieli postów.

Wtyczka Download Manager dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez Display Name we wszystkich wersjach do 3.3.70 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to obecności shortcode'u [wpdm_edit_profile] na stronie front-endu dostępnej dla użytkowników na poziomie Subscriber, którzy mogą następnie przesłać wielokrotnie zakodowany ładunek poprzez pole display name, aby obejść sanityzację.

Wtyczka Listdom: AI-powered Business Directory with Classifieds Ads Listings dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'lsd[remark]' we wszystkich wersjach do 6.1.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to możliwe do wykorzystania przez użytkowników na poziomie Subscriber, ponieważ gałąź tworzenia listy w handlerze AJAX pomija sprawdzenie uprawnień, a wymagany nonce jest publicznie emitowany na każdej stronie zawierającej shortcode [listdom-dashboard].

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa (wersje do 5.7.1 włącznie) jest podatna na Insecure Direct Object Reference. Publiczny, nieuwierzytelniony endpoint AJAX ładuje fakturę po sekwencyjnym identyfikatorze invoice_id bez weryfikacji właściciela ani klucza dostępu, co pozwala atakującemu wyliczać faktury innych klientów i tworzyć lub nadpisywać intencje transakcji.

Wtyczka Greenshift – animation and page builder blocks dla WordPressa (wersje do 13.2.0 włącznie) jest podatna na Reflected Cross-Site Scripting poprzez dynamiczny placeholder '{{GET:}}'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

W Bouncy Castle dla Javy przed wersją 1.86, kilka punktów wejścia do wyprowadzania kluczy na podstawie hasła uruchamiało KDF z parametrami kosztu pobranymi z niezaufanego wejścia, bez ich ograniczania, co pozwalało małemu wejściu wymusić dowolną ilość pracy przed odrzuceniem przez hasło lub kontrolę integralności. Dotknięte ścieżki to konstruktory kalkulatora MAC PBMAC1 RFC 9579, parametr równoległości scrypt p w osłonach kosztu PKCS#8 i PKCS#12, surowy dostawca PBKDF2 JCA oraz liczba rund bcrypt odczytana z własnych kdfoptions prywatnego klucza OpenSSH v1. Każdy z nich teraz ogranicza parametr przed wyprowadzeniem, zgodnie z limitami zastosowanymi już w innych miejscach drzewa, z liczbą rund OpenSSH konfigurowalną przez nową właściwość org.bouncycastle.openssh.max_rounds. To uzupełnia ograniczenia rozpoczęte w wersji 1.85 dla deszyfratorów PKCS#8 / PBES2 (CVE-2026-15055). Problem dotyczy również Bouncy Castle dla Javy LTS przed 2.73.13 oraz Bouncy Castle dla Javy FIPS (BC-FJA) przed bcpkix-fips 1.0.13 (seria 1.0.X), 2.0.13 (seria 2.0.X) i 2.1.13 (seria 2.1.X).

Wtyczka Dc Woocommerce Multi Vendor dla WordPressa (wersje do 5.0.18 włącznie) jest podatna na SQL Injection poprzez parametr 'order_by' endpointu REST /multivendorx/v1/compliance/report-abuse. Wartość jest konkatenowana bezpośrednio do klauzuli ORDER BY, a esc_sql() nie zapewnia ochrony, co pozwala uwierzytelnionym atakującym z uprawnieniami vendora (edit_stores) dołączać dodatkowe zapytania SQL.

W bibliotece bc-csharp (Bouncy Castle dla .NET) przed wersją 2.7.0 występuje nieprawidłowa walidacja certyfikatów w PkixNameConstraintValidator. Atakujący kontrolujący lub mogący uzyskać certyfikaty od pośredniego CA z ograniczeniami nazw może spowodować akceptację certyfikatów dla adresów e-mail, nazw DNS lub URI, które znajdują się w wykluczonych poddrzewach, poprzez nazwy kończące się kropką (np. rfc822Name, dNSName, uniformResourceIdentifier), ponieważ porównanie nie usuwa końcowej kropki (root-label) zgodnie z RFC 1034.

Wtyczka MStore API dla WordPressa przed wersją 4.22.1 nie ogranicza, które pola zamówienia może aktualizować klient. Każdy uwierzytelniony użytkownik z możliwością samodzielnej rejestracji może zmienić status własnego nieopłaconego zamówienia na opłacone lub zrealizowane i odebrać towar bez płacenia.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sprawdza, czy żądanie renderowania widżetu pochodzi od uprawnionego użytkownika. Umożliwia to użytkownikom z rolą tak niską jak subskrybent (a od wersji 2.0.18 wymagany jest współtwórca lub wyższy) wykonanie dowolnych shortcode'ów WordPressa na stronie.

Wtyczka WebToffee Gift Cards for WooCommerce dla WordPressa przed wersją 1.3.1 nie waliduje po stronie serwera kwoty karty podarunkowej podanej przez użytkownika przed użyciem jej jako ceny pozycji koszyka i wartości kuponu. Umożliwia to nieuwierzytelnionym użytkownikom przesłanie dowolnej lub ujemnej kwoty, obejście skonfigurowanych nominałów i manipulowanie sumą zamówienia w celu uzyskania produktów bez płacenia.

Wtyczka Easy PayPal & Stripe Buy Now Button dla WordPressa przed wersją 2.0.6 nie wylicza kwoty płatności po stronie serwera, pobierając ją z pola dostarczonego przez klienta. Nieuwierzytelniony atakujący może ustawić dowolną niższą cenę zakupu.

Wtyczka WP Edit Password Protected dla WordPressa przed wersją 2.0.7 nie egzekwuje swojego ograniczenia dostępu na REST API WordPressa. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści opublikowanych wpisów i stron, które miały być ukryte przez skonfigurowany tryb dostępu.

Wtyczka Popup Maker WP do wersji 1.4.5 włącznie nie wykonuje kontroli autoryzacji dla kilku swoich akcji i udostępnia stronę zarządzania każdemu zalogowanemu użytkownikowi. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak subskrybent, zapisanie wartości targetowania wyświetlania, które są później wywoływane jako bezargumentowe funkcje PHP przy publicznym ładowaniu strony, prowadząc do ujawnienia poufnych informacji i odmowy usługi.

Wtyczka WordPress The Events Calendar w wersji przed 6.17.5.1 nie waliduje ani nie sanityzuje danych przesyłanych do nieuwierzytelnionej akcji AJAX przed włączeniem ich do kontekstu renderowania. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka WordPress WP User Frontend w wersji przed 4.3.12 nie egzekwuje wymogu zakupu subskrypcji w jednym z handlerów tworzenia postów. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym tworzenie, a w zależności od konfiguracji formularza natychmiastową publikację postów przez formularze zastrzeżone dla płacących subskrybentów.

Niewłaściwa walidacja danych wejściowych w DHAgreement.CalculateAgreement (MTI/A0 dwuprzebiegowy Diffie-Hellman) w Legion of the Bouncy Castle Inc. bc-csharp przed 2.7.0. Pozwala atakującemu w ścieżce sieciowej sprawić, że lokalna strona obliczy uzgodnioną wartość, którą atakujący już zna, co niweczy uwierzytelnianie klucza, które MTI/A0 ma zapewniać. Umożliwia również złośliwemu peerowi poznanie lokalnego statycznego klucza prywatnego modulo małe czynniki p-1 i odzyskanie go w grupach z wieloma takimi czynnikami.

Wtyczka WordPress WP Mail Logging w wersji przed 1.17.0 nie ogranicza prawidłowo HTML i CSS logowanych e-maili przed ich wyświetleniem w ekranach dziennika administratora. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie stylizowanej treści i linków, na przykład przez publiczny formularz kontaktowy, które mogą oszukać administratora przeglądającego dziennik i przekierować jego przeglądarkę na stronę kontrolowaną przez atakującego.

Wtyczka WordPress CMP – Coming Soon & Maintenance w wersji przed 4.1.20 nie ogranicza prawidłowo dostępu do witryny, gdy włączony jest tryb konserwacji/coming-soon. Umożliwia to nieuwierzytelnionym odwiedzającym obejście strony coming-soon i dostęp do ukrytej witryny, w tym ukrytych opublikowanych stron, poprzez ukształtowanie żądania tak, aby zostało ono pomylone z żądaniem logowania.

Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.