Katalog podatności CVE

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sprawdza, czy żądanie renderowania widżetu pochodzi od uprawnionego użytkownika. Umożliwia to użytkownikom z rolą tak niską jak subskrybent (a od wersji 2.0.18 wymagany jest współtwórca lub wyższy) wykonanie dowolnych shortcode'ów WordPressa na stronie.

Wtyczka WebToffee Gift Cards for WooCommerce dla WordPressa przed wersją 1.3.1 nie waliduje po stronie serwera kwoty karty podarunkowej podanej przez użytkownika przed użyciem jej jako ceny pozycji koszyka i wartości kuponu. Umożliwia to nieuwierzytelnionym użytkownikom przesłanie dowolnej lub ujemnej kwoty, obejście skonfigurowanych nominałów i manipulowanie sumą zamówienia w celu uzyskania produktów bez płacenia.

Wtyczka Easy PayPal & Stripe Buy Now Button dla WordPressa przed wersją 2.0.6 nie wylicza kwoty płatności po stronie serwera, pobierając ją z pola dostarczonego przez klienta. Nieuwierzytelniony atakujący może ustawić dowolną niższą cenę zakupu.

Wtyczka WP Edit Password Protected dla WordPressa przed wersją 2.0.7 nie egzekwuje swojego ograniczenia dostępu na REST API WordPressa. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści opublikowanych wpisów i stron, które miały być ukryte przez skonfigurowany tryb dostępu.

Wtyczka Popup Maker WP do wersji 1.4.5 włącznie nie wykonuje kontroli autoryzacji dla kilku swoich akcji i udostępnia stronę zarządzania każdemu zalogowanemu użytkownikowi. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak subskrybent, zapisanie wartości targetowania wyświetlania, które są później wywoływane jako bezargumentowe funkcje PHP przy publicznym ładowaniu strony, prowadząc do ujawnienia poufnych informacji i odmowy usługi.

Wtyczka WordPress The Events Calendar w wersji przed 6.17.5.1 nie waliduje ani nie sanityzuje danych przesyłanych do nieuwierzytelnionej akcji AJAX przed włączeniem ich do kontekstu renderowania. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka WordPress WP User Frontend w wersji przed 4.3.12 nie egzekwuje wymogu zakupu subskrypcji w jednym z handlerów tworzenia postów. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym tworzenie, a w zależności od konfiguracji formularza natychmiastową publikację postów przez formularze zastrzeżone dla płacących subskrybentów.

Niewłaściwa walidacja danych wejściowych w DHAgreement.CalculateAgreement (MTI/A0 dwuprzebiegowy Diffie-Hellman) w Legion of the Bouncy Castle Inc. bc-csharp przed 2.7.0. Pozwala atakującemu w ścieżce sieciowej sprawić, że lokalna strona obliczy uzgodnioną wartość, którą atakujący już zna, co niweczy uwierzytelnianie klucza, które MTI/A0 ma zapewniać. Umożliwia również złośliwemu peerowi poznanie lokalnego statycznego klucza prywatnego modulo małe czynniki p-1 i odzyskanie go w grupach z wieloma takimi czynnikami.

Wtyczka WordPress WP Mail Logging w wersji przed 1.17.0 nie ogranicza prawidłowo HTML i CSS logowanych e-maili przed ich wyświetleniem w ekranach dziennika administratora. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie stylizowanej treści i linków, na przykład przez publiczny formularz kontaktowy, które mogą oszukać administratora przeglądającego dziennik i przekierować jego przeglądarkę na stronę kontrolowaną przez atakującego.

Wtyczka WordPress CMP – Coming Soon & Maintenance w wersji przed 4.1.20 nie ogranicza prawidłowo dostępu do witryny, gdy włączony jest tryb konserwacji/coming-soon. Umożliwia to nieuwierzytelnionym odwiedzającym obejście strony coming-soon i dostęp do ukrytej witryny, w tym ukrytych opublikowanych stron, poprzez ukształtowanie żądania tak, aby zostało ono pomylone z żądaniem logowania.

Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.

Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie usuwa klucza tajnego reCAPTCHA z ustawień giveaway osadzanych na publicznych stronach giveaway. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie klucza tajnego dowolnego aktywnego giveaway, który ma skonfigurowaną reCAPTCHA.

Wtyczka WordPress BuildKit w wersji przed 1.0.29 nie sanityzuje i nie escapuje prawidłowo danych przesyłanych przez użytkowników z poziomem współpracownika przed ich zapisaniem i późniejszym użyciem w zapytaniu SQL. Umożliwia to współpracownikowi wstrzyknięcie SQL, który zostanie wykonany na bazie danych, gdy wynikowa treść zostanie opublikowana i wyświetlona przez dowolnego nieuwierzytelnionego odwiedzającego.

Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.

Wtyczka WordPress Request a Quote w wersji do 2.5.6 nie wykonuje sprawdzenia autoryzacji w jednym ze swoich nieuwierzytelnionych handlerów AJAX. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie rekordów kontaktowych zgłoszeń wyceny, w tym rekordów, których witryna nie opublikowała.

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.

Wtyczka Popup Maker do WordPressa w wersji do 1.4.5 nie sprawdza uprawnień w jednej z akcji związanych z połączeniem konta, weryfikując jedynie nonce. Umożliwia to uwierzytelnionym użytkownikom z minimalnymi uprawnieniami, takim jak subskrybenci, nadpisanie opcji całej witryny (powiązanego konta usługi i konfiguracji API), która powinna być modyfikowalna tylko przez administratorów.

Motyw Avada dla WordPressa (Website Builder For WordPress & WooCommerce) jest podatny na odzwierciedlony Cross-Site Scripting (XSS) przez parametr 'lang' we wszystkich wersjach do 7.16.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie weryfikuje, czy callbacki płatności rzeczywiście pochodzą od dostawcy płatności, gdy klucz tajny nie został skonfigurowany (stan tuż po aktywacji). Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień, w tym oznaczenie nieopłaconych jako opłacone i zmniejszenie stanu magazynowego.

Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.