Katalog podatności CVE

Wtyczka Advanced Views dla WordPressa do wersji 3.9.1 ujawnia wrażliwe treści edytora tworzone przez administratorów poprzez rejestrację REST API. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić znaczniki szablonów, kod CSS, JavaScript oraz zmienne kontrolera PHP dla dowolnego układu lub posta.

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.8 zawiera podatność na Reflected Cross-Site Scripting (XSS) poprzez parametr 'param'. Niezautoryzowani atakujący mogą wstrzyknąć dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka WPvivid Backup & Migration dla WordPressa do wersji 0.9.131 zawiera podatność na SQL Injection poprzez parametr export_data. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie wrażliwych danych z bazy danych.

Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka Easy Property Listings dla WordPressa do wersji 3.5.24 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez metodę kontaktu użytkownika 'facebook'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka GSheetConnector dla WordPressa do wersji 5.2.1 zawiera podatność na SQL Injection poprzez parametr 's'. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie wrażliwych danych z bazy danych.

Wtyczka GamiPress dla WordPressa do wersji 7.9.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez shortcode 'gamipress_rank'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka GamiPress dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'heading_size' w 'gamipress_achievement'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Icegram Engage dla WordPress jest podatna na wstrzyknięcie SQL drugiego rzędu przez parametr 'messages[][id]'. Atakujący z dostępem na poziomie redaktora mogą zapisać złośliwą wartość, która później jest wykonywana jako zapytanie SQL, umożliwiając wyciek danych.

Wtyczka Icegram Mailer dla WordPress jest podatna na wstrzyknięcie SQL przez parametr 'fields' w funkcji get_logs(). Atakujący z dostępem administratora mogą dołączać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych.

Wtyczka Cozy Blocks dla WordPress jest podatna na przechowywane ataki XSS przez atrybut bloku 'layoutCircle.alignment'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Advanced Woo Labels dla WordPress jest podatna na przechowywane ataki XSS przez parametr 'bg_color'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybuty shortcode. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'nav'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'style'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Kirki dla WordPress jest podatna na Path Traversal (Zip Slip) przez funkcję extract_zip_file. Atakujący z dostępem na poziomie niestandardowym mogą zapisywać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Database Collation Fix dla WordPress jest podatna na czasowe wstrzyknięcie SQL przez parametr 'force-collation-algorithm'. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co umożliwia wyciek danych, ale wymaga obecności pliku trigger.txt.

Wtyczka GenerateBlocks dla WordPressa jest podatna na przechowywany atak XSS poprzez wstrzykiwanie dynamicznych tagów w atrybutach HTML. Podatność występuje we wszystkich wersjach do 2.3.0 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów webowych na stronach.

Wtyczka Gutena Forms dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.9.0 włącznie. Podatność wynika z nieprawidłowego weryfikowania uprawnień użytkownika do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym modyfikację statusu przeczytania/nieprzeczytania lub trwałe usunięcie dowolnych wpisów formularzy.

Wtyczka RealHomes Memberships dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 3.0.9 włącznie. Podatność wynika z nieprawidłowego weryfikowania uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przyznanie sobie dowolnego poziomu członkostwa premium bez dokonywania płatności PayPal.