Katalog podatności CVE

Wtyczka Video Player for YouTube dla WordPressa przed wersją 2.1.0 nie odpowiednio sanityzuje i nie escapuje danych wprowadzanych przez użytkownika przed użyciem ich w zapytaniu SQL. Umożliwia to użytkownikom z rolą Współautora i wyższą przeprowadzenie ataków SQL injection i odczyt dowolnych danych z bazy danych.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ma odpowiedniej autoryzacji na publicznej akcji ładowania recenzji, co pozwala nieuwierzytelnionym użytkownikom na zmuszanie witryny do wielokrotnych, płatnych żądań API do zewnętrznych usług przy użyciu skonfigurowanego klucza API oraz tworzenie nieograniczonej liczby wierszy w bazie danych kontrolowanych przez atakującego.

Wtyczka Joli Table Of Contents dla WordPressa przed wersją 3.0.3 nie sanityzuje ani nie escapuje wartości atrybutu shortcode przed wypisaniem jej wewnątrz atrybutu elementu HTML. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych atrybutów HTML i JavaScriptu, które wykonują się w przeglądarce każdego użytkownika przeglądającego post, w tym administratorów. Przekracza to granicę uprawnień nawet w multisite, gdzie tacy użytkownicy nie mają uprawnień do publikowania niesfiltrowanego HTML.

Wtyczka CatFolders Document Gallery & PDF Library dla WordPressa przed wersją 2.0.7 nie poprawnie waliduje atrybutu bloku przed użyciem go jako nazwy tagu HTML w swoim wyjściu galerii. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego, kto przegląda dotknięty post.

Wtyczka Eventin dla WordPressa przed wersją 4.1.22 nie sprawdza prawidłowo autoryzacji na kilku trasach REST do zarządzania wydarzeniami, umożliwiając użytkownikom z rolą współautora lub wyższą zmianę ustawienia strony głównej na wydarzenie, którego nie są właścicielami, oraz tworzenie, edytowanie i usuwanie globalnych taksonomii wydarzeń i prelegentów, którymi nie powinni zarządzać.

Wtyczka VikWidgetsLoader dla WordPressa przed wersją 1.12.0 nie sanityzuje ani nie escapuje atrybutu bloku przed wypisaniem go w skrypcie inline, umożliwiając użytkownikom z rolą współautora przechowywanie dowolnego JavaScriptu, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty wpis, w tym administratora przeglądającego oczekujące zgłoszenie.

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie sprawdza prawidłowo wartości ścieżki szablonu przed użyciem jej do dołączenia lokalnego pliku, umożliwiając użytkownikom z rolą współautora lub wyższą dołączanie i wykonywanie dowolnych lokalnych plików PHP.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie escapuje identyfikatora dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, umożliwiając użytkownikom z rolą edytora lub wyższą dołączanie dowolnego SQL i odczytywanie zawartości bazy danych, w tym danych uwierzytelniających użytkowników.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sanityzuje i nie escapuje kilku atrybutów shortcode przed wypisaniem ich w atrybutach HTML, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sprawdza prawidłowo adresu URL linku przed wypisaniem go w atrybucie HTML, polegając na filtrze, który można obejść, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik kliknie dotknięty link.

Wtyczka WordPress Greenshift przed wersją 13.2.0 nie zabezpiecza odpowiednio atrybutu animacji bloku przed wypisaniem go w atrybucie HTML, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania treści.

Wtyczka WordPress Greenshift przed wersją 13.2.0 nie weryfikuje adresu URL podanego przez użytkownika przed pobraniem go po stronie serwera, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmuszenie serwera do wysyłania żądań do dowolnych hostów i odczytania odpowiedzi.

Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.

Wtyczka WordPress Accept Stripe Payments przed wersją 2.1.4 nie weryfikuje, czy produkt zrealizowany po zakończeniu płatności odpowiada produktowi, za który faktycznie dokonano płatności, sprawdzając jedynie, czy zapłacona kwota jest co najmniej równa cenie referencyjnego produktu, co pozwala nieuwierzytelnionym atakującym, którzy dokonają prawdziwej płatności, na otrzymanie realizacji dla innego produktu o równej lub niższej cenie niż ten, za który zapłacili.

Wtyczka WordPress Accept Stripe Payments przed wersją 2.1.4 nie weryfikuje adresu URL podanego przez użytkownika przed użyciem go w przekierowaniu, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolną zewnętrzną stronę internetową, co może być wykorzystane do phishingu.

Wtyczka Smart Post dla WordPressa przed wersją 4.0.8 nie sprawdza, czy post jest chroniony hasłem, zanim zwróci jego treść i zapisane hasło przez nieuwierzytelnioną akcję AJAX. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści chronionych postów oraz hasła, które ich chroni.

Motyw Divi dla WordPressa jest podatny na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z użycia funkcji `wp_remote_get()` zamiast `wp_safe_remote_get()` w funkcji `et_pb_set_video_oembed_thumbnail_resolution()`, co nie ogranicza żądań do prywatnych lub zarezerwowanych zakresów IP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wysyłanie żądań do dowolnych lokalizacji z serwera aplikacji. Odpowiedź nie jest zwracana atakującemu (blind SSRF), ale istnieją orakle statusu i czasu.

Motyw Divi dla WordPressa jest podatny na DOM-Based Stored Cross-Site Scripting przez atrybut `image_src` shortcode'a `et_pb_video_slider_item` we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z tego, że pole `image_src` nie jest uwzględnione na białej liście `$url_options`, więc nie jest poddawane `esc_url_raw()` podczas zapisu. Po stronie serwera wartość jest renderowana w atrybucie HTML `data-image` za pomocą `esc_attr()`, ale kod JavaScript po stronie klienta odczytuje ten atrybut przez jQuery `.data('image')`, co zwraca zdekodowaną wartość, która jest następnie wstrzykiwana do DOM bez ponownego escapowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się po najechaniu na miniaturę karuzeli.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.2 nie odpowiednio sanityzuje i nie escapuje wartości pola formularza przed umieszczeniem jej w wysyłanych wiadomościach e-mail z powiadomieniami HTML. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML do wiadomości dostarczanych administratorom i innym odbiorcom. Wykonanie skryptu zależy od klienta poczty odbiorcy, ale wstrzyknięty znacznik jest renderowany niezależnie.