Katalog podatności CVE

Wtyczka BlockSpare dla WordPressa w wersjach do 4.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej logiki w funkcji zwrotnej uprawnień, gdzie użyto operatora AND (&&) zamiast OR (||). Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może obejść kontrole autoryzacji i tworzyć dowolne wpisy.

Wtyczka Metasync dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_instant_indexing_settings(). Funkcja jest podpięta do akcji admin_init i sprawdza jedynie obecność $_POST['submit'], po czym zapisuje dane z $_POST['metasync_post_types'] do opcji 'metasync_options_instant_indexing' bez weryfikacji nonce i bez sprawdzenia uprawnień użytkownika.

Wtyczka Search Atlas SEO dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą nadpisanie hasła ustawień whitelabel na wartość kontrolowaną przez atakującego.

Wtyczka SSL Zen dla WordPressa w wersjach do 4.7.42 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'host' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność jest wykorzystywana tylko w etapie system_requirements.

Wtyczka Real3D Flipbook Lite dla WordPressa w wersjach do 5.1.1 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez atrybut shortcode 'lightboxtext' oraz inne nieoczyszczone atrybuty obsługiwane przez on_shortcode(). Wartości atrybutów są kopiowane bez zmian do opcji flipbooka i emitowane przez wp_json_encode() w bloku <script type="application/json"> bez flagi JSON_HEX_TAG, co pozwala na wyjście z kontekstu skryptu JSON.

Wtyczka AppMySite dla WordPressa w wersjach do 3.15.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez handler AJAX save_ams_license_key z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Handler nie wykonuje sprawdzenia uprawnień ani weryfikacji nonce.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Podatna gałąź SQL jest uruchamiana tylko, gdy w żądaniu obecny jest co najmniej jeden z parametrów: linked_posts, created_after, created_before, missing_fields, post_id, wartość typu oddzielona przecinkami lub exclude_type.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order_by' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Domyślny callback uprawnień endpointu REST to publish_posts, co oznacza, że każdy użytkownik z rolą Author lub wyższą może osiągnąć podatny kod bez dodatkowych warunków.

Wtyczka OTP Login & Register Woocommerce dla WordPressa w wersjach do 2.7.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez ustawienie 'fb-config' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, podatność może być wykorzystana do ataku na superadministratora sieci.

Wtyczka PDF Builder for WooCommerce dla WordPressa w wersjach do 2.0.11 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą pobranie numerów faktur, sformatowanych numerów faktur i znaczników czasu utworzenia dla dowolnych zamówień WooCommerce poprzez podanie dowolnych wartości OrderNumber i InvoiceId z nieprawidłowym nonce.

Wtyczka WP Customer Reviews dla WordPressa w wersjach do 3.7.8 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'wpcr3_fname' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Mailchimp for WooCommerce dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy żądający użytkownik ma wymagane uprawnienia w callbacku uprawnień dla kilku tras REST API. Pozwala to nieuwierzytelnionym użytkownikom na dostęp do endpointów przeznaczonych dla administratorów i wywołanie trwałej zmiany stanu.

Wtyczka Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit dla WordPressa przed wersją 5.4.7 nie weryfikuje autentyczności webhooka płatności PIX przed aktualizacją statusu zamówienia. Pozwala to nieuwierzytelnionym atakującym oznaczyć oczekujące zamówienie jako opłacone bez dokonania płatności.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.

Wtyczka WPGraphQL Smart Cache dla WordPressa przed wersją 2.3.2 nie wymaga autoryzacji ani nie weryfikuje identyfikatora zapytania dostarczonego przez wywołującego przed zapisaniem trwałego zapytania z żądania. Pozwala to nieuwierzytelnionym użytkownikom na publikowanie dowolnych dokumentów zapytań i zajmowanie aliasów zapytań przed ich zarejestrowaniem przez frontend strony.

Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.3 nie wystarczająco ogranicza, które funkcje PHP mogą być używane jako niestandardowy callback walidacji pola, opierając się na liście blokującej, która pomija funkcję usuwania plików, co pozwala użytkownikom mogącym zarządzać formularzami na usuwanie dowolnych plików na serwerze. Samo usunięcie jest wykonywane podczas przesyłania formularza, co nie wymaga uwierzytelnienia.

Wtyczka WordPress Nimble Page Builder w wersjach do 3.3.8 włącznie nie sprawdza uprawnień podczas zwracania zawartości page-buildera przez uwierzytelnioną akcję AJAX. Pozwala to każdemu zalogowanemu użytkownikowi (rola Subscriber i wyżej) na ujawnienie zawartości page-buildera dowolnych niepublicznych wpisów i stron (szkice, oczekujące, prywatne, zaplanowane).