Katalog podatności CVE

Wtyczka WooCommerce PayPal Payments dla WordPressa jest podatna na ujawnienie wrażliwych informacji z powodu niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) we wszystkich wersjach do 3.3.2 włącznie. Podatność występuje w funkcji enqueue_paypal_insights_script_on_order_received() z powodu braku walidacji klucza kontrolowanego przez użytkownika.

Wtyczka Jeg Kit for Elementor dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.1 włącznie. Podatność występuje w metodzie enqueue_scripts() w pliku class/dashboard/class-dashboard.php, która wstrzykuje obiekt JavaScript JkitDashboardOption zawierający szczegóły wtyczek, środowiska systemowego oraz potencjalnie klucze API stron trzecich.

Wtyczka Theme Editor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 3.1 włącznie. Podatność wynika z braku walidacji nonce w akcji AJAX ms_update. Umożliwia to nieuwierzytelnionym atakującym modyfikację stylów CSS motywu potomnego poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia w link.

Wtyczka Support Genix dla WordPressa przed wersją 1.4.48 nie zapobiega traversalowi katalogów w ścieżce pobierania załączników zgłoszeń. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików z dozwolonym rozszerzeniem, w tym prywatnych załączników innych użytkowników.

Wtyczka Admin Columns for ACF Fields dla WordPressa do wersji 0.3.2 nie koduje wartości pól Advanced Custom Fields przed wyświetleniem ich w kolumnach listy w panelu administracyjnym. Umożliwia to użytkownikom z dostępem na poziomie współautora i wyższym przechowywanie ładunku, który wykonuje się jako JavaScript w sesji użytkowników z wyższymi uprawnieniami przeglądających listę wpisów.

Wtyczka Codeless Page Builder dla WordPressa do wersji 1.1.4 nie oczyszcza ani nie waliduje atrybutu shortcode przed użyciem go jako nazwy znacznika HTML, co pozwala użytkownikom z rolą contributor i wyższym na wstrzykiwanie dowolnego HTML i JavaScript. Kod wykonuje się w sesji każdego użytkownika z wyższymi uprawnieniami (np. administratora), który wyświetli treść.

Wtyczka YOP Poll dla WordPressa przed wersją 7.0.6 nie weryfikuje rzeczywistego adresu IP połączenia, ufając nagłówkom przekazywanym przez klienta przy egzekwowaniu ograniczenia głosów na IP. Pozwala to niezalogowanym atakującym ominąć limit głosów i oddawać nieograniczoną liczbę głosów w publicznej ankiecie.

Wtyczka Event Tickets and Registration dla WordPressa przed wersją 5.29.0.1 nie przeprowadza żadnej kontroli autoryzacji na jednym z punktów końcowych REST do zarządzania zamówieniami. Pozwala to niezalogowanym użytkownikom na zmianę statusu istniejących zamówień.

Wtyczka Authora: Easy login with mobile number dla WordPressa przed wersją 1.7.7 nie utrzymuje poufności jednorazowego kodu logowania, zwracając kod i prawidłowy token weryfikacyjny w odpowiedzi na nieautoryzowaną akcję. Pozwala to niezalogowanym atakującym zalogować się jako dowolny użytkownik, którego znają zarejestrowany numer telefonu (w tym administratorzy), lub tworzyć dowolne konta.

Wtyczka Pixel Tag Manager for WooCommerce dla WordPressa przed wersją 2.2.1 nie przeprowadza kontroli autoryzacji dla jednej ze swoich akcji AJAX. Pozwala to niezalogowanym użytkownikom na wysyłanie sfałszowanych zdarzeń konwersji e-commerce do skonfigurowanych zewnętrznych API reklamowych, używając zapisanych poświadczeń witryny.

Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.

Wtyczka Podlove Podcast Publisher dla WordPressa przed wersją 4.5.3 nie sprawdza nonce w niektórych akcjach administracyjnych tworzenia i usuwania. Atakujący mogą tworzyć fałszywe rekordy lub usuwać prawidłowe za pomocą sfałszowanego żądania (CSRF), gdy zalogowany administrator zostanie nakłoniony do odwiedzenia spreparowanej strony.

Wtyczka Pixelavo dla WordPressa przed wersją 1.5.4 rejestruje nieuwierzytelnioną akcję AJAX, zabezpieczoną jedynie nonce, które jest publicznie emitowane na każdej stronie front-end. Akcja ta przekazuje dane zdarzeń dostarczone przez klienta do skonfigurowanego interfejsu Facebook Conversions API przy użyciu przechowywanego tokena dostępu administratora. Umożliwia to nieuwierzytelnionemu gościowi wstrzykiwanie dowolnych zdarzeń konwersji na konto reklamowe administratora na Facebooku i wyczerpanie skonfigurowanego limitu API.

Wtyczka Buckaroo Woocommerce Payments Plugin dla WordPressa przed wersją 4.9.0 nie sprawdza uprawnień ani nonce w akcji AJAX przetwarzającej zwroty płatności. Każdy uwierzytelniony użytkownik, w tym Subskrybenci, może zainicjować zwroty środków za zrealizowane zamówienia.

Wtyczka Direct Payments for WooCommerce do WordPressa przed wersją 2.5.3 nie weryfikuje, czy żądający jest właścicielem zamówienia WooCommerce w kilku nieuwierzytelnionych procedurach AJAX, co pozwala nieuwierzytelnionym atakującym na zmianę statusu zamówienia i nadpisywanie metadanych płatności.

Wtyczka wpForo Forum do WordPressa przed wersją 3.1.2 nie oczyszcza i nie koduje pola profilu użytkownika przed wyświetleniem go w atrybucie HTML na publicznej stronie profilu, co pozwala użytkownikom z kontem subskrybenta na wstrzyknięcie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego profil, w tym zalogowanego administratora.

Wtyczka Bit Form do WordPressa przed wersją 3.1.4 nie oczyszcza jednego z ustawień wyświetlania formularza konwersacyjnego przed renderowaniem go na publicznym formularzu, co pozwala użytkownikom z wysokimi uprawnieniami (takim jak administratorzy, którzy nie mają uprawnienia unfiltered_html w multisite) na przechowywanie JavaScriptu wykonywanego w przeglądarce każdego odwiedzającego formularz.

Wtyczka SureForms dla WordPressa do wersji 2.8.1 zawiera podatność na Stored Cross-Site Scripting przez parametr 'headingWrapper' z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Umożliwia to autoryzowanym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka Pinpoint Booking System – Version 2 dla WordPressa do wersji 2.9.9.6.9 zawiera podatność na blind SQL Injection przez parametr 'field' z powodu niedostatecznego escapowania i przygotowania zapytań. Autoryzowani atakujący z dostępem administratora mogą dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.

Wtyczka SendPulse Email Marketing Newsletter dla WordPressa do wersji 2.2.5 zawiera podatność na Stored Cross-Site Scripting przez pole _sp_form_code Post Meta z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych. Autoryzowani atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzyknąć dowolne skrypty, omijając listę dozwolonych znaczników.