Katalog podatności CVE

Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.

Wtyczka W3 Total Cache dla WordPressa przed wersją 2.10.5 nieprawidłowo weryfikuje ścieżkę żądania używaną do budowania nazw plików pamięci podręcznej, co pozwala nieuwierzytelnionym atakującym na zapis pliku do dowolnego istniejącego katalogu na serwerze, wewnątrz lub na zewnątrz katalogu głównego, nadpisując to, co zajmuje docelową nazwę. Na Apache, ta sama wada nadpisuje pliki .htaccess witryny, co psuje witrynę i może usunąć reguły wzmacniające, na których polegają inne środki bezpieczeństwa.

Wtyczka TabaPay Gateway dla WordPressa do wersji 1.4.0 nie weryfikuje wywołania zwrotnego płatności przed ustanowieniem sesji dla konta powiązanego z zamówieniem, co pozwala nieuwierzytelnionym atakującym na zalogowanie się jako dowolny zarejestrowany użytkownik, w tym administrator.

Wtyczka Animation Addons for Elementor dla WordPressa przed wersją 2.7.2 nie weryfikuje wartości dostarczonej przez użytkownika przed użyciem jej do zbudowania hosta żądania HTTP po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom na zmuszenie witryny do wysyłania żądań do wewnętrznych hostów i odczytywania odpowiedzi.

Wtyczka SmartCrawl SEO checker, analyzer & optimizer dla WordPressa przed wersją 3.16.3 nie sprawdza uprawnień w dwóch akcjach AJAX, co pozwala użytkownikom z rolą Subscriber na odczyt tytułów prywatnych i szkicowych wpisów po ID oraz na enumerację nazw kluczy meta wpisów.

Wtyczka Product Shortlist dla WordPressa do wersji 1.0.4 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection.

Wtyczka Simple File List dla WordPressa do wersji 6.3.11 nie odpowiednio sanityzuje i nie escapuje opisu pliku przed wyświetleniem go na publicznej liście plików, co pozwala nieuwierzytelnionym użytkownikom (gdy zarządzanie plikami od strony frontendu jest włączone) na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego listę.

Wtyczka Simple File List dla WordPressa do wersji 6.3.11 nie weryfikuje ścieżki źródłowej operacji przenoszenia plików dostępnej dla nieuwierzytelnionych użytkowników, co pozwala im na odczyt dowolnych plików na serwerze oraz przenoszenie krytycznych plików poza katalog główny, prowadząc do ujawnienia wrażliwych informacji i potencjalnego przejęcia witryny.

Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie escapuje niektórych parametrów z ciągu zapytania, które odzwierciedla na jednej ze swoich stron administracyjnych, co pozwala atakującym na przeprowadzenie ataków Reflected Cross-Site Scripting przeciwko zalogowanym użytkownikom, takim jak administratorzy, którzy zostaną nakłonieni do otwarcia spreparowanego linku.

Wtyczka YayCurrency dla WordPressa przed wersją 3.3.5 nie przeprowadza żadnych kontroli uprawnień ani własności w kilku swoich modułach obsługi integracji multi-sprzedawców, które są dostępne dla nieuwierzytelnionych użytkowników, co pozwala każdemu na odczyt sum zamówień sklepu oraz zarobków sprzedawców, ksiąg bilansowych i historii wypłat poprzez iterowanie identyfikatorów.

Wtyczka Easy Media Replace dla WordPressa do wersji 0.2.0 nie sanityzuje i nie escapuje tytułu załącznika przed wyświetleniem go w atrybucie HTML w widoku listy biblioteki multimediów, co pozwala użytkownikom z rolą Author i wyżej na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się w przeglądarce użytkownika z wyższymi uprawnieniami przeglądającego bibliotekę multimediów.

Wtyczka User Verification by PickPlugins dla WordPressa do wersji 2.0.47 nie weryfikuje, czy żądanie ponownego wysłania e-maila weryfikacyjnego jest autoryzowane do działania na podanym użytkowniku, ani nie wiąże tokena ochronnego z tym użytkownikiem, co pozwala nieuwierzytelnionym atakującym na zresetowanie statusu weryfikacji e-mail dowolnych użytkowników i zablokowanie ich, w tym administratorów, z ich kont.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.

Wtyczka Booking calendar, Appointment Booking System do WordPressa do wersji 3.2.36 nie filtruje prawidłowo przesłanych plików SVG, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku omijającego usuwanie skryptów i wykonującego dowolny kod JavaScript po otwarciu pliku, w tym w sesji administratora przeglądającego zgłoszenia.

Wtyczka 10Web Booster do WordPressa przed wersją 2.33.5 nie weryfikuje poprawnie tokenu dostępu w nieuwierzytelnionym żądaniu oraz nie escapuje treści stylów dostarczanych przez atakującego przed wstawieniem ich do nagłówka strony, co pozwala nieuwierzytelnionemu atakującemu na przechowywanie znaczników wykonujących JavaScript w przeglądarce anonimowych odwiedzających.

Wtyczka WCFM Marketplace do WordPressa przed wersją 3.8.1 nie weryfikuje, czy sprzedawca jest właścicielem opinii przed umożliwieniem jej odrzucenia lub usunięcia, co pozwala każdemu sprzedawcy na modyfikację lub trwałe usunięcie opinii należących do sklepów innych sprzedawców.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności przed umożliwieniem modyfikacji lub usunięcia wpisów harmonogramu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę lub usunięcie wpisów utworzonych przez innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności ani uprawnień przed usunięciem kont użytkowników, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na trwałe usunięcie kont innych użytkowników.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje uprawnień bieżącego użytkownika do edycji innych użytkowników przed przypisaniem ról i aktualizacją metadanych podczas tworzenia mówcy, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na modyfikację ról i metadanych innych użytkowników.