Katalog podatności CVE

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika przed zastosowaniem filtra statusu wpisu w jednej ze swoich tras REST. Nieuwierzytelnieni atakujący mogą wylistować kursy nieopublikowane, w tym szkice, oczekujące, prywatne, zaplanowane i usunięte.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika w jednym ze swoich narzędzi administracyjnych kursu. Nieuwierzytelnieni atakujący mogą wylistować nazwy wyświetlane i identyfikatory wszystkich zapisanych studentów wraz z kursami, na które są zapisani, oraz odzyskać ich adresy e-mail poprzez filtr wyszukiwania tego samego handlera.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika w jednym ze swoich handlerów szablonów administracyjnych. Nieuwierzytelnieni atakujący mogą pobrać tekst, identyfikator i typ każdego opublikowanego pytania quizu w witrynie wraz z wyszukiwaniem po słowach kluczowych, co jest treścią, którą wtyczka LearnPress w wersji przed 4.4.7 normalnie utrzymuje jako niepubliczną.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nie sprawdza, czy użytkownik ma dostęp do kursu przed zwróceniem treści dyskusji lekcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, czytanie komentarzy z kursów, do których nie jest zapisany, w tym komentarzy oczekujących na moderację.

Wtyczka FluentBoards dla WordPressa przed wersją 2.0.15 nieprawidłowo weryfikuje autoryzację przy zwracaniu listy tablic, do których należy użytkownik. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez dostępu do tablic, ujawnienie prywatnych członkostw w tablicach dowolnych użytkowników poprzez podanie ich identyfikatora.

Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.4 nie wykonuje kontroli CSRF ani uprawnień podczas przetwarzania akcji masowych na ekranach administracyjnych i nie ogranicza docelowych elementów do własnych rekordów. Umożliwia to atakującym nakłonienie zalogowanego administratora do trwałego usunięcia dowolnych wpisów i stron za pomocą spreparowanego żądania.

Wtyczka Xpro Addons — 140+ Widgets for Elementor dla WordPressa przed wersją 1.7.9 nie waliduje ani nie sanityzuje ustawienia linku widgetu przed zapisaniem i użyciem go w wywołaniu JavaScript nawigacji. Umożliwia to użytkownikom z rolą współautora i wyższym wstrzyknięcie i zapisanie JavaScript, który wykonuje się w przeglądarce każdego, kto wejdzie w interakcję z dotkniętym widgetem.

Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie weryfikuje prawidłowo własności ani statusu moderacji komentarza przed zwróceniem jego treści, co pozwala niezalogowanym użytkownikom na odczyt komentarzy oczekujących na moderację lub oznaczonych jako spam.

Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie sprawdza, czy post jest chroniony hasłem przed umieszczeniem jego treści w generowanych danych strukturalnych, co pozwala niezalogowanym użytkownikom uzyskać treść postów chronionych hasłem przez wiele publicznych ścieżek wyjścia.

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie ma odpowiednich kontroli uwierzytelniania/autoryzacji w jednej z procedur drukowania raportów, co pozwala niezalogowanym użytkownikom pobierać szczegóły zamówień WooCommerce oraz dane kontaktowe klientów, a także wyszukiwać zamówienia według nazwiska lub adresu e-mail klienta.

Plugin Eventin przed wersją 4.1.24 nie zapobiega użyciu tokenu wydanego gościowi podczas finalizacji zakupu do późniejszej zmiany biletów w zamówieniu, co pozwala niezalogowanym użytkownikom zastąpić płatny bilet darmowym i sfinalizować zamówienie bez płacenia.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio weryfikuje adresów URL przed ich pobraniem podczas procesu importu, co pozwala użytkownikom z uprawnieniami importu (domyślnie administratorzy) powodować wysyłanie przez stronę żądań do wewnętrznych hostów i usług oraz odczytywać ich odpowiedzi. Jest to niepełna poprawka dla CVE-2026-11397.

Plugin WP Import Export Lite przed wersją 3.9.33 nie escapuje nazw pól niestandardowych pobranych z bazy danych przed wstawieniem ich do DOM jednego z ekranów administracyjnych, co pozwala użytkownikom z rolą co najmniej contributor na przeprowadzanie ataków Stored XSS, które wyzwalają się w przeglądarce użytkownika z wysokimi uprawnieniami, takiego jak administrator, przeglądającego ten ekran.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości konfiguracji importu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom, którym administrator nadał uprawnienia importu, przeprowadzać ataki SQL injection.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości filtrów eksportu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom posiadającym uprawnienia eksportu (domyślnie administratorzy, mogą być przyznane niższym rolom) przeprowadzać ataki SQL injection.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pliku podanej przez użytkownika przed jej odczytem i skopiowaniem do publicznie dostępnego katalogu. Umożliwia to użytkownikom z uprawnieniem importu ujawnienie wrażliwych plików z serwera, w tym plików spoza katalogu web root. Ten sam kod dodatkowo łagodzi uprawnienia systemu plików dla dowolnej podanej ścieżki, niezależnie od tego, czy kopiowanie się powiedzie.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pochodzącej z przechowywanych danych użytkownika przed rekurencyjnym usunięciem katalogu, na który wskazuje. Umożliwia to użytkownikom, którym administrator delegował odpowiednie uprawnienie, usunięcie dowolnych katalogów wraz ze wszystkimi plikami, w tym spoza katalogu web root.

Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.9.6 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'shortcode_content' shortcode'u bt_bb_shortcode. Wynika to z obejścia filtra bezpieczeństwa (bt_bb_save_pre) za pomocą wstrzyknięcia bajtu null oraz niewystarczającej sanityzacji danych wyjściowych w handlerze shortcode'u bt_bb_raw_content. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.

Wtyczka Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots dla WordPressa (wszystkie wersje do 2.15.22 włącznie) jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr 'icn' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, np. kliknięcia w link.