Katalog podatności CVE

Wtyczka Cozy Blocks dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'productRating.iconColor' w wersjach do 2.2.27 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatna ścieżka kodu jest osiągalna tylko gdy opcja productRating jest włączona, a powiązany produkt WooCommerce ma niezerową ocenę.

Wtyczka Cozy Blocks dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'content (block attribute icon.view / icon.layout / icon.gap)' w wersjach do 2.2.27 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Mimo zastosowania wp_kses_post przy zapisie, nie neutralizuje on ładunku opartego wyłącznie na cudzysłowach bez znaku '<', pozostawiając komentarz bloku i jego zdekodowane atrybuty JSON podatne na wykorzystanie przy renderowaniu.

Wtyczka s2Member dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'date_format' w wersjach do <= 261011 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Ładunek omija wp_kses_post() przy zapisie, ponieważ nie zawiera dosłownych nawiasów kątowych — jedynie sekwencje ze znakiem ucieczki, które funkcja date() w PHP zamienia na znaki tagów HTML przy renderowaniu po zastosowaniu stripcslashes() przez shortcode_parse_atts().

Wtyczka Tour Booking Manager dla WordPressa jest podatna na przechowywany XSS poprzez atrybuty 'width', 'height' i 'zoom' shortcode'u [ttbm-hotel-map] w wersjach do 2.3.6 włącznie. Wynika to z niewystarczającej sanityzacji i ucieczki danych wejściowych w funkcji ttbm_hotel_map_shortcode(), która konkatenuje surowe wartości atrybutów do atrybutów HTML tagu <iframe> w cudzysłowach. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka UiChemy dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'actions[save_builder][data][elements][...][settings][slot_{N}_link][url]' w wersjach do 5.3.0 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Wstrzyknięty ładunek javascript: uruchamia się po kliknięciu, a nie przy załadowaniu strony, więc wykorzystanie wymaga kliknięcia przez uprzywilejowanego użytkownika (np. Editora lub Administratora) w link przygotowany przez atakującego podczas przeglądania lub podglądu wpisu Contributora.

Wtyczka Document Embedder dla WordPressa jest podatna na przechowywany DOM-based XSS poprzez parametr 'content (post_content zawierający block JSON documentSource.doc)' w wersjach do 2.4.0 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Ładunek uruchamia się konkretnie po kliknięciu przycisku Download osadzonego dokumentu, co powoduje, że ścieżka AJAX de_track_download programowo tworzy anchor z href kontrolowanym przez atakującego i wywołuje .click() — warunek osiągany przez podanie docId=0, co powoduje, że can_read_document() zwraca false, omijając normalny przepływ pobierania.

Wtyczka easy.jobs dla WordPressa jest podatna na uwierzytelniony (Contributor+) przechowywany XSS poprzez atrybut 'icon' bloku Gutenberga easyjobs/job-list w wersjach do 2.8.2 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wejściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Hustle dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'content[title]' w wersjach do 7.8.14.3 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Wykorzystanie wymaga, aby administrator jawnie przyznał atakującemu uprawnienie 'Create and Update Modules' (hustle_create / hustle_edit_module) poprzez funkcję Settings → Permissions wtyczki; to delegowanie nie jest domyślnie włączone.

Wtyczka Tainacan dla WordPressa jest podatna na Directory Traversal w wersjach do 1.3.0 włącznie poprzez parametr 'tmp_file'. Uwierzytelniony atakujący z uprawnieniami co najmniej Editor może odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje. Zatruta ścieżka importera jest zapisywana w bazie danych i później wywoływana przez osobne żądanie GET do endpointu /source_info, który przekazuje ścieżkę kontrolowaną przez atakującego do fopen() i fgetcsv() i zwraca sparsowaną zawartość pliku w odpowiedzi REST.

Wtyczka If-So Dynamic Content dla WordPressa jest podatna na przechowywany XSS poprzez atrybut 'conversion' shortcode'u w wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'tab_index, empty_notice' we wszystkich wersjach do 3.16.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej contributor może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Funkcja wp_kses_post nie usuwa ładunku przy zapisie, ponieważ niebezpieczne znaki znajdują się w tekście atrybutu shortcode między nawiasami kwadratowymi, które kses traktuje jako zwykły tekst, a nie znaczniki HTML.

Wtyczka If-So Dynamic Content – Elementor & All Page Builders Personalization dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'url' we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej contributor może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Wstrzyknięty skrypt wykonuje się konkretnie w sesji przeglądarki administratora, ponieważ podatna gałąź kodu renderuje się tylko wtedy, gdy administrator podgląda lub otwiera wpis zawierający spreparowany shortcode.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'wpas_files' we wszystkich wersjach do 6.4.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej custom-level może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność jest wykorzystywana tylko wtedy, gdy włączone jest ustawienie "Enable drag-n-drop uploader for ticket form", które domyślnie jest wyłączone.

Wtyczka Postie dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez mechanizm automatycznego linkowania adresów URL w treści e-maila we wszystkich wersjach do 1.9.87 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Jest to możliwe, ponieważ endpoint ?postie=get-mail jest dostępny dla nieuwierzytelnionych użytkowników bez sprawdzania uprawnień, a ścieżka przetwarzania e-maili usuwa filtry wyjściowe kses WordPressa przed zapisem surowego znacznika, co pozwala na zapisanie nieescapowanej wartości atrybutu href jako treści wpisu.

Wtyczka Recipe Card Blocks Lite dla WordPressa w wersjach przed 3.6.4 nie sanityzuje ani nie rzutuje atrybutu bloku i shortcode przed wstawieniem go do zapytań SQL. Umożliwia to uwierzytelnionym użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków SQL injection.

Wtyczka WP Roster dla WordPressa w wersjach przed 2.35 nie wykonuje żadnych kontroli uprawnień ani nonce w jednej ze swoich akcji AJAX. Pozwala to nieuwierzytelnionym atakującym usuwać konta użytkowników WordPressa będących członkami rosteru.

Wtyczka Customer Engagement System dla WordPressa w wersjach przed 2.0.2 nie ogranicza dostępu do wyszukiwania grup zainteresowań MailChimp ani nie waliduje dostarczonego klucza API. Umożliwia to nieuwierzytelnionym użytkownikom nawiązywanie przez serwer połączeń do dowolnych wewnętrznych hostów i portów oraz wnioskowanie na podstawie czasu odpowiedzi, które z nich są osiągalne.

Wtyczka Customer Engagement System dla WordPressa w wersjach przed 2.0.2 nie buduje bezpiecznie zapytań SQL przechowujących reguły widoczności strony i kategorii popupu, wstawiając identyfikatory z żądania bezpośrednio do instrukcji INSERT bez parametryzacji ani rzutowania na liczbę całkowitą. Umożliwia to uwierzytelnionemu administratorowi wstrzyknięcie dowolnego SQL i odczyt zawartości bazy danych WordPressa.

Wtyczka PayPlug for WooCommerce (Official) w wersjach przed 3.1.1 nie wykonuje kontroli uprawnień ani własności w zestawie nieuwierzytelnionych akcji AJAX operujących na identyfikatorze zamówienia dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym modyfikowanie, odczyt zawartości i trwałe usuwanie dowolnych zamówień WooCommerce.

Wtyczka GeoDirectory dla WordPressa w wersjach przed 2.8.196 nieprawidłowo escapuje atrybut shortcode'u odznaki postu w kontekście JavaScript przed umieszczeniem go w inline'owym handlerze zdarzeń. Umożliwia to użytkownikom z rolą Contributor lub wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu, kto kliknie odznakę, w tym administratorom.