Katalog podatności CVE

Wtyczka PageLayer dla WordPressa do wersji 2.0.8 ma podatność ujawnienia wrażliwych informacji systemowych, która umożliwia odzyskanie osadzonych danych wrażliwych.

Wtyczka Coming Soon Page, Under Construction & Maintenance Mode by SeedProd dla WordPressa jest podatna na atak SSRF (Server-Side Request Forgery).

Wtyczka Magic Conversation For Gravity Forms dla WordPress do wersji 3.0.97 zawiera podatność na trwałe XSS przez shortcode 'magic-conversation' z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjściowego atrybutów. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzyknąć dowolne skrypty.

Wtyczka Element Pack Addons for Elementor dla WordPressa (do wersji 8.4.2) jest podatna na Stored Cross-Site Scripting (XSS) przez widget SVG Image. Funkcja render_svg() pobiera treść SVG z zdalnych URL-i bez odpowiedniej sanityzacji, co pozwala uwierzytelnionym atakującym (od poziomu Contributor) na wstrzyknięcie dowolnego JavaScriptu w plikach SVG.

Wtyczka Awesome Support dla WordPressa do wersji 6.3.7 zawiera podatność na Insecure Direct Object Reference. Funkcja wpas_get_ticket_replies_ajax() nie sprawdza, czy uwierzytelniony użytkownik ma uprawnienia do przeglądania konkretnego zgłoszenia, co pozwala atakującym z dostępem subskrybenta lub wyższym na dostęp do wrażliwych informacji ze wszystkich zgłoszeń.

Brak autoryzacji w pluginie Blog2Social dla WordPressa (do wersji 8.8.3). Uwierzytelnieni atakujący z dostępem Subscriber mogą modyfikować, przeplanowywać lub usuwać zaplanowane posty innych użytkowników poprzez manipulację parametrem b2s_id.

Wtyczka WowPress dla WordPressa do wersji 1.0.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty shortcode'u. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym wejściu na zainfekowaną stronę.

Wtyczka Wavr dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode `wave`. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Podatność na Stored Cross-Site Scripting we wtyczce Inquiry Form to Posts or Pages dla WordPressa w wersjach do 1.0 włącznie. Pole 'Form Header' jest niewystarczająco sanityzowane podczas zapisu i nie jest odpowiednio kodowane przy wyświetlaniu. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć dowolne skrypty, które wykonają się na stronie ustawień wtyczki lub na stronach z shortcodem [inquiry_form].

Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.

Wtyczka Sports Club Management dla WordPress do wersji 1.12.9 zawiera podatność na przechowywany XSS przez atrybuty 'before' i 'after' shortcode'a scm_member_data. Uwierzytelnieni atakujący z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Quran Translations dla WordPressa do wersji 1.7 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brak weryfikacji nonce w funkcji quran_playlist_options() umożliwia nieuwierzytelnionemu atakującemu modyfikację ustawień wtyczki poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.

Wtyczka Attendance Manager dla WordPress do wersji 0.6.2 jest podatna na iniekcję SQL przez parametr 'attmgr_off'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą dołączać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy.

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 zawiera podatność na Stored XSS przez atrybut 'id' shortcode'u '[print_clmns]'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów, pod warunkiem istnienia co najmniej jednej kolumny utworzonej przez administratora.

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 udostępnia endpoint REST API '/wp-json/InkXEProductDesignerLite/orders' bez autoryzacji, co pozwala nieuwierzytelnionym atakującym na wyodrębnienie wrażliwych danych klientów i zamówień z WooCommerce, w tym imion, nazwisk, identyfikatorów, kwot i statusów zamówień.

Wtyczka WP Blockade dla WordPressa do wersji 0.9.14 włącznie ma brak autoryzacji w funkcji render_shortcode_preview(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych shortcodów WordPressa.

Wtyczka PZ Frontend Manager dla WordPressa w wersjach do 1.0.6 zawiera podatność polegającą na braku autoryzacji w funkcji pzfm_user_request_action_callback(). Funkcja ta, zarejestrowana przez akcję AJAX wp_ajax_pzfm_user_request_action, nie sprawdza uprawnień ani nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym usunięcie dowolnych użytkowników WordPressa, w tym administratorów.

Wtyczka Pinterest Site Verification using Meta Tag dla WordPress w wersjach do 1.8 zawiera podatność na trwałe XSS poprzez parametr 'post_var' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Whole Enquiry Cart for WooCommerce dla WordPress w wersjach do 1.2.1 zawiera podatność na trwałe XSS poprzez parametr 'woowhole_success_msg' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie administratora mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka AM LottiePlayer dla WordPress do wersji 3.6.0 włącznie jest podatna na Stored Cross-Site Scripting przez przesłane pliki SVG z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Autora i wyższym mogą wstrzykiwać dowolne skrypty na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.