Katalog podatności CVE

Wtyczka WordPress WP Data Access w wersji przed 5.5.88 nie posiada sprawdzeń autoryzacji i CSRF w jednej ze swoich akcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, zmuszenie serwera do otwierania połączeń z dowolnymi hostami i portami, w tym wewnętrznymi, oraz odczytania wyniku.

Wtyczka WordPress Contact Form 7 Signature Addon w wersji do 4.2.2 nie oczyszcza wartości pola podpisu przed zbudowaniem z niej ścieżki załącznika e-mail. Umożliwia to nieuwierzytelnionym użytkownikom dołączenie dowolnych plików (ograniczonych do wp-content w obecnej wersji Contact Form 7) do wychodzącego e-maila formularza poprzez path traversal; gdy formularz jest skonfigurowany do wysyłania kopii na adres kontrolowany przez zgłaszającego, atakujący może odczytać docelowy plik.

Wtyczka WordPress Ukr-To-Lat w wersjach do 1.3.5 włącznie nie sanityzuje ani nie escapuje nazwy terminu przed użyciem jej w zapytaniu SQL. Umożliwia to użytkownikom z uprawnieniami Contributor i wyższymi przeprowadzanie ataków SQL injection.

Wtyczka WordPress PeachPay — Payments & Express Checkout for WooCommerce w wersjach przed 1.120.70 nie sprawdza uprawnień ani własności zamówienia przed zwróceniem jego klucza tajnego w odpowiedzi na nieuwierzytelnione żądanie. Każdy może pobrać klucz dowolnego opłaconego zamówienia i użyć go do wglądu w dane klienta, takie jak imię i nazwisko, adres e-mail, adres pocztowy oraz zawartość zamówienia.

Wtyczka User Registration & Membership dla WordPressa w wersjach do 5.2.8 włącznie jest podatna na trwałe wstrzyknięcie skryptu (Stored XSS) poprzez wartość pola Checkbox z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Akcja AJAX nopriv user_registration_user_form_submit dociera do ur_process_registration() bez walidacji nonce.

Wtyczka WordPress 'User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder' we wszystkich wersjach do 5.2.8 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji trigger_bulk_action. Nieuwierzytelnieni atakujący mogą zmusić administratorów do zatwierdzania oczekujących rejestracji użytkowników lub odrzucania dowolnych kont, blokując dostęp docelowym użytkownikom. Atakujący może obejść wcześniejszą kontrolę nonce w trigger_query_actions(), dostarczając pusty parametr new_role, co powoduje wczesne zakończenie tego handlera i przekazanie kontroli do niechronionego trigger_bulk_action(); wywołanie exit() na końcu tego handlera dodatkowo uniemożliwia wykonanie własnej walidacji nonce WordPressa dla masowych operacji na użytkownikach.

Wtyczka User Registration & Membership dla WordPressa w wersjach do 5.2.8 włącznie jest podatna na wykonanie dowolnego shortcode z powodu niewystarczającej sanityzacji w gałęzi 'referrer_url' metody UR_Smart_Tags::process(). Nagłówek HTTP_REFERER kontrolowany przez atakującego przechodzi tylko przez sanitize_text_field(), które nie usuwa delimiterów shortcode, a następnie jest podstawiany do komunikatu Content Restriction wykonywanego przez apply_shortcodes()/do_shortcode().

Wtyczka WordPress 'Tutor LMS – eLearning and online course solution' we wszystkich wersjach do 4.1.0 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'ID' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą modyfikować dowolne kursy utworzone przez innych instruktorów — nadpisując ich tytuł, treść i status — oraz przypisać sobie ich własność. Jest to możliwe, ponieważ Input::sanitize_array() zachowuje klucze POST dostarczone przez atakującego (w tym 'ID') bez ich usuwania, a WordPress interpretuje niepuste ID w tablicy argumentów wp_insert_post() jako aktualizację istniejącego posta, a nie nowe wstawienie.

Wtyczka WordPress 'Themify Builder' we wszystkich wersjach do 7.8.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez atrybut shortcode 'visible' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy aktywny jest niestandardowy typ posta 'slider', co jest spełnione automatycznie, gdy wtyczka jest sparowana z motywem Themify lub inną wtyczką rejestrującą CPT 'slider'.

Wtyczka WordPress 'Post Export Import with Media' we wszystkich wersjach do 1.17.2 włącznie jest podatna na Directory Traversal poprzez parametr 'theme_slug'. Uwierzytelnieni atakujący z uprawnieniami administratora lub wyższymi mogą wykonywać operacje na plikach poza zamierzonym katalogiem. Wykorzystanie wymaga włączenia funkcji peiwm_enable_admin_download_buttons w ustawieniach wtyczki.

Wtyczka WordPress 'Themify Popup' we wszystkich wersjach do 1.4.7 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'popup_width_unit' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WordPress 'xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN' we wszystkich wersjach do 1.4.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'content' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może odczytać prywatne opisy rezerwacji i identyfikatory rezerwacji z dowolnego kalendarza zarządzanego przez witrynę.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym odczyt treści e-maili powiadomień dowolnej rezerwacji poprzez iterowanie booking_id i email_log_id, ujawniając dane osobowe klientów.

Wtyczka Welcart e-Commerce dla WordPressa w wersjach do 2.12.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'wp_usces_order_old (pola JSON searchSql / searchSkuSql)' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami edytora lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka LearnPress – WordPress LMS Plugin for Create and Sell Online Courses w wersjach do 4.4.10 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wyliczyć pełną listę użytkowników witryny i wyodrębnić pełne adresy e-mail dowolnego konta WordPress, w tym administratorów, znak po znaku, wykorzystując odpowiedź wyszukiwania jako wyrocznię dla kolumn user_login i user_email.

Wtyczka LearnPress dla WordPressa w wersjach do 4.4.10 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych z parametru 'checkout-email' w akcji AJAX podczas finalizacji zamówienia. Wartość przechodzi przez sanitize_text_field(), które nie usuwa składni serializowanego obiektu, jest zapisywana w tabeli sesji LearnPress, a następnie przekazywana do unserialize() bez ograniczenia allowed_classes.

Wtyczka EU VAT Assistant for WooCommerce dla WordPressa w wersjach do 2.1.30.260413 włącznie jest podatna na trwałe wstrzyknięcie skryptu (Stored XSS) poprzez parametr 'vat_number' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Zapisany ładunek wykonuje się w przeglądarce administratora podczas przeglądania zamówienia w WooCommerce → Orders → Edit Order.

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress w wersjach do 5.7.4 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'params (customer[uuid])'. Nieuwierzytelniony atakujący może wyodrębnić imię, nazwisko, adres e-mail, numer telefonu i notatki każdego rekordu klienta w bazie danych, wyliczając prefiksy uuid poprzez nieuwierzytelniony endpoint AJAX steps__load_step. Podatność jest możliwa do wykorzystania tylko gdy wtyczka LatePoint jest skonfigurowana z ustawieniem 'Field used for authentication' ustawionym na 'Disable ability to login' (tryb gościa).