Katalog podatności CVE

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.

Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.

Wtyczka WordPress Payable Payment Gateway for WooCommerce w wersji przed 1.3.1 nie weryfikuje autentyczności przychodzącego powiadomienia o płatności przed oznaczeniem zamówienia WooCommerce jako opłaconego lub nieudanego. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu płatności dowolnego zamówienia w sklepie, niezależnie od metody płatności.

Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa w wersjach do 2.20.4 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji '__construct'. Umożliwia to nieuwierzytelnionym atakującym usunięcie plików motywu na serwerze.

Wtyczka WordPress Quick Event Manager w wersji przed 9.19 nie weryfikuje statusu ani typu żądanego wpisu przed zwróceniem jego szczegółów przez eksport kalendarza. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści wersji roboczych i prywatnych wpisów.

WordPress Core w wersjach 4.7–7.1.3 jest podatny na zdalne wykonanie kodu (RCE) z powodu przewidywalnych, dostępnych przez sieć ścieżek staging używanych podczas pełnych aktualizacji pakietu rdzenia. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze w oknie aktualizacji.

Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.

Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.

Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.

Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.

Wtyczka WordPress Security Optimizer w wersji przed 1.6.9 nie ogranicza liczby kodów uwierzytelniania dwuskładnikowego, które można przesłać dla oczekującego logowania. Umożliwia to atakującemu znającemu hasło użytkownika brute force drugiego składnika i przejęcie konta.

Wtyczka WordPress Premium Packages w wersji przed 7.2.2 nie zapobiega nadpisaniu przez nieuwierzytelnionych odwiedzających zapisanej ceny produktów w koszyku. Umożliwia im tworzenie zamówień na dowolny produkt po dowolnie wybranej cenie.

Wtyczka WordPress Bulk Media Register w wersji przed 2.01 nieprawidłowo waliduje ścieżkę podaną przez użytkownika przed przeniesieniem pliku na serwerze. Umożliwia to użytkownikom z rolą autora przenoszenie lub zmianę nazw dowolnych plików, w tym poza katalogiem głównym WordPress, co może obejść kontrolę dostępu na poziomie katalogów i ujawnić chronione pliki.

Wtyczka NextGEN Gallery dla WordPressa w wersjach do 4.5.4 włącznie jest podatna na przechowywany DOM-based XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka PPWP – Password Protect Pages dla WordPressa w wersjach do 1.9.26 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka WordPress Essential Addons for Elementor w wersjach przed 6.8.8 nieprawidłowo ogranicza możliwość ustawiania roli dla kont tworzonych przez formularz rejestracyjny. Użytkownicy z uprawnieniami na poziomie Author i wyższym mogą spowodować nadanie nowo zarejestrowanym kontom, w tym utworzonym przez niezalogowanych odwiedzających, wyższej roli, np. Editor. Poprawka z wersji 6.6.0 jest niekompletna i można ją obejść, więc wersje od 6.6.0 do 6.8.7 pozostają podatne.

Wtyczka WordPress Payment Forms for Paystack w wersjach przed 4.0.6 nieprawidłowo ogranicza dostęp do strony wyświetlającej zapisaną konfigurację. Użytkownicy z rolą Contributor i wyższą mogą zobaczyć tajne dane API bramki płatności — zarówno klucze produkcyjne, jak i testowe — które dają pełny dostęp do konta płatności właściciela witryny.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Meow Lightbox dla WordPressa w wersjach do 5.6.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'post_content (bbPress reply body)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.