Katalog podatności CVE

Wtyczka SmugMug Embed dla WordPressa do wersji 3.13 nie posiada autoryzacji ani sprawdzenia CSRF na akcji AJAX przechowującej dane galerii, ani nie sanityzuje i nie escapuje tych danych przed ich wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów internetowych, które wykonują się, gdy administrator przegląda ekran ustawień wtyczki SmugMug Embed.

Wtyczka Simple Membership dla WordPressa przed wersją 4.8.3 nie unika przesyłania hasła w postaci zwykłego tekstu nowo zarejestrowanego członka w ciągu zapytania URL, gdy opcjonalna funkcja automatycznego logowania po rejestracji jest włączona, narażając poświadczenia w historii przeglądarki oraz w dziennikach dostępu serwera WWW, proxy i CDN dla każdego, kto może je odczytać.

Wtyczka BuddyPress Instant Chat dla WordPressa do wersji 1.6 nie sprawdza, czy nadawca wiadomości czatu należy do konwersacji, do której wiadomość jest dodawana, ani nie escapuje treści wiadomości przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów internetowych, które wykonają się w sesji każdego członka, który później przegląda tę konwersację.

Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie posiada sprawdzeń autoryzacji dla kilku operacji zmieniających stan, a porównanie sekretów, którego używa zamiast tego, może zostać ominięte na instalacjach, gdzie klucz sekretny nigdy nie został ustawiony, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnego JavaScriptu, który jest wykonywany w przeglądarce każdego odwiedzającego witrynę.

Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie wykonuje żadnego sprawdzenia uprawnień ani nonce przed umożliwieniem uwierzytelnionemu użytkownikowi nadpisania konfiguracji całej witryny, ani nie escapuje tych wartości konfiguracyjnych przed wydrukowaniem ich w bloku skryptu inline na każdej stronie front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu, w tym administratorom.

Wtyczka Web Vitals Tracking dla WordPressa do wersji 5.4.2 nie waliduje ani nie escapuje pomiarów wydajności przesłanych przez nieuwierzytelnionych odwiedzających przed ich zapisaniem i wyświetleniem w kontekście skryptu na stronie administracyjnej, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom.

Wtyczka HootBoard dla WordPressa do wersji 3.1.4 nie przeprowadza kontroli autoryzacji na niektórych punktach końcowych REST i nie escapuje wartości przechowywanych przez te punkty przed wyświetleniem ich na publicznej stronie, co pozwala nieuwierzytelnionym użytkownikom wstrzykiwać dowolne skrypty webowe, które wykonają się w przeglądarce każdego odwiedzającego, w tym administratorów.

Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne opcje WordPressa, co może spowodować wyłączenie witryny i pozbawienie wszystkich użytkowników ich ról.

Wtyczka Quick quotes dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX i pozwala wywołującemu wybrać, która opcja jest zapisywana, co umożliwia nieuwierzytelnionym użytkownikom zmianę dowolnych ustawień witryny i uczynienie jej niedostępną.

Wtyczka Crowdfundly dla WordPressa do wersji 2.2.2 nie posiada kontroli uprawnień na niektórych akcjach AJAX, co pozwala użytkownikom z niskimi rolami nadanymi przez tę wtyczkę na przyznanie sobie roli administratora lub dowolnych uprawnień, prowadząc do całkowitego przejęcia witryny.

Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom tworzyć i nadpisywać dowolne opcje WordPressa danymi z żądania, co może spowodować wyłączenie witryny i dezaktywację wszystkich wtyczek Insurify.

Wtyczka AI Content Generator Marketing dla WordPressa do wersji 1.0.0 nie egzekwuje kontroli nonce ani uprawnień na niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom aktualizować i usuwać dowolne opcje WordPressa, co może być wykorzystane do uzyskania dostępu administratora do witryny.

Wtyczka Freeton WP dla WordPressa do wersji 1.0.0 nie poprawnie weryfikuje kodu aktywacyjnego podczas uwierzytelniania użytkownika, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, którego adres e-mail znają, w tym administratorzy.

Wtyczka Mindstien Quick Login dla WordPressa do wersji 1.0 nie poprawnie weryfikuje wartości dostarczonej w żądaniu względem sesji odwiedzającego przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym uzyskać sesję jako konto administratora, z którym skonfigurowana jest wtyczka.

Wtyczka click5 CRM add-on do Contact Form 7 dla WordPressa do wersji 1.0.4 nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed wyświetleniem ich na stronie administracyjnej, co prowadzi do Stored XSS, które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka click5 CRM add-on do Gravity Forms dla WordPressa do wersji 1.0.3 nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed wyświetleniem ich na stronie administracyjnej, co prowadzi do Stored XSS, które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do Ninja Forms (do wersji 1.0.1) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do Contact Form 7 (do wersji 1.0.4) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.

Dodatek click5 CRM do Gravity Forms (do wersji 1.0.3) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.