Katalog podatności CVE

Wtyczka Mail Mint dla WordPress w wersjach do 1.31.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'filters' endpointu REST /wp-json/mrm/v1/segments/contacts. Brak wystarczającego escapowania wartości filtra przed dołączeniem jej do zapytania SQL w SegmentFilterService::get_meta_join_query() (linia 797) — wartość jest interpolowana do fragmentu WHERE w kontekście numerycznym (bez cudzysłowów), a otaczające wywołania $wpdb->prepare() nie obejmują wstrzykniętej wartości.

Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.

Wtyczka Klarna for WooCommerce dla WordPressa (wersje do 4.13.3 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może uzyskać dostęp do klucza order_key oraz pełnych danych osobowych rozliczeniowych i wysyłkowych (imię, nazwisko, e-mail, telefon, adres, kod pocztowy, miasto, region, kraj) dowolnego zamówienia, które są ujawniane w zmiennej JavaScript klarna_payments_params.

Wtyczka Bulk Page Generator – LPagery dla WordPress w wersjach do 3.1.0 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może tworzyć, modyfikować i usuwać strony zarządzane przez LPagery oraz procesy masowego generowania stron zarezerwowane dla administratorów. Na domyślnych świeżych instalacjach, w których nie wybrano Freemius, klucz AES-256-CBC używany do walidacji tokenów Bearer sprowadza się do publicznie znanego hasha SHA-256 pustego ciągu, co czyni token całkowicie podrabialnym.

Wtyczka Mang Board dla WordPressa (wersje do 2.4.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().

Wtyczka Mang Board dla WordPress w wersjach do 2.4.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika. Obejście sanityzacji jest dodatkowo ułatwione przez możliwość pominięcia parametru data_type w żądaniu modyfikacji, co całkowicie pomija gałąź HTMLPurifier i pozostawia jedynie kodowanie mbw_htmlspecialchars2 — w pełni odwracane przy renderowaniu.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa (wersje do 0.1.4.1 włącznie) jest podatna na eskalację uprawnień. Strona administracyjna wtyczki jest rejestrowana z użyciem nazwy roli zwracanej przez InstaWP_Setting::get_allowed_role() jako wymaganej zdolności, a pole z kluczem API jest renderowane jako zwykły tekstowy input bez dodatkowej weryfikacji uprawnień manage_options. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może odczytać jawny klucz API, użyć jego sekretu jako tokenu bearer w REST API wtyczki i wywołać POST /wp-json/instawp-connect/v2/auto-login, aby uzyskać 30-sekundowy link logowania ustawiający cookie administratora.

Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Mang Board dla WordPressa w wersji 2.4.4 jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Wymaga to włączonej opcji gości na tablicy (domyślne ustawienie), a wymagany nonce jest widoczny na każdej publicznej stronie tablicy.

Wtyczka Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy dla WordPress w wersjach do 1.2.0 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'image_hub_api_keys_* (6 opcji)'. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wyodrębnić jawne poświadczenia API dla sześciu usług zewnętrznych — Giphy, Openverse (client ID i secret), Pexels, Pixabay i Unsplash — emitowane dosłownie do HTML każdej strony administracyjnej przez wp_localize_script. Ujawniony HTML zawiera również ważny nonce AJAX image_hub_nonce, co — w połączeniu z brakiem sprawdzenia uprawnień w handlerze AJAX image_hub_update_settings — pozwala temu samemu atakującemu nadpisać wszystkie sześć zapisanych opcji poświadczeń API przez update_option().

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa (wersje do 3.16.0.6 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może pobrać dane rozliczeniowe (imię i nazwisko, adres, e-mail, telefon) dla dowolnego zamówienia WooCommerce, podając kolejny identyfikator zamówienia.

Wtyczka Modula Image Gallery dla WordPressa (wersje do 3.0.11 włącznie) jest podatna na ujawnienie poufnych informacji poprzez parametr 'id' w /wp-json/wp/v2/modula-gallery/{id}. Nieuwierzytelniony atakujący może wyodrębnić hasło i nazwę użytkownika zabezpieczające galerię z pola modulaSettings REST dla każdej opublikowanej galerii.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym użytkownikom na wykonywanie dowolnych shortcode'ów, ponieważ wartość przekazywana do do_shortcode nie jest prawidłowo walidowana. Wykorzystanie jest możliwe na każdej instalacji z motywem blokowym poprzez pojedyncze żądanie GET do strony wyników wyszukiwania lub przez anonimowy komentarz, bez potrzeby posiadania treści Forminator.

Wtyczka miniOrange OTP Login dla WordPressa (wersje do 5.5.8 włącznie) jest podatna na obejście uwierzytelniania poprzez funkcję mo_by_pass_login(). Funkcja mo_delay_otp_process() skraca proces uwierzytelniania przed walidacją hasła, a flaga Delay OTP jest przechowywana w metadanych użytkownika bez powiązania z sesją, co pozwala nieuwierzytelnionemu atakującemu zalogować się jako dowolny użytkownik, w tym administrator.

Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.

Wtyczka Gwolle Guestbook dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'permalink' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Complianz GDPR/CCPA Cookie Consent Banner dla WordPressa (wersje do 7.5.5 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez zawartość komentarzy i filtr yotu-wp Cookie-Blocker z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.