Katalog podatności CVE

Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.8 nie ogranicza, które pola rezerwacji może ustawić nieuwierzytelniony gość, co pozwala na przypisanie uprzywilejowanego pola, takiego jak status zatwierdzenia, i ominięcie procesu zatwierdzania rezerwacji.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.0.4 nie sprawdza uprawnień przed zwróceniem pełnych danych klienta w jednej z akcji AJAX. Każdy uwierzytelniony użytkownik z niskimi uprawnieniami (Subskrybent i wyżej) może odczytać dane osobowe, w tym imię, nazwisko, e-mail, telefon i adres dowolnego klienta.

Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie oczyszcza i nie escapuje parametru wyszukiwania na stronie administracyjnej przed użyciem go w zapytaniu SQL. Użytkownicy z rolami zarządzania rezerwacjami mogą przeprowadzać ataki SQL Injection.

Wtyczka Sync Post With Other Site dla WordPressa przed wersją 1.9.3 nieprawidłowo egzekwuje uprawnienia do edycji stron w REST API z powodu błędu pierwszeństwa operatorów w sprawdzaniu autoryzacji. Uwierzytelniony użytkownik z uprawnieniami do edycji postów (np. Współautor) może tworzyć, publikować i nadpisywać dowolne strony, w tym modyfikować treści autorstwa użytkowników z wyższymi uprawnieniami.

Wtyczka WP Real IP-based Access Control dla WordPressa do wersji 1.3.1 nie sprawdza uprawnień ani nonce przed zapisaniem jednej z wartości opcji, a także nie escapuje tej wartości przy wyświetlaniu na stronie ustawień. Nieuwierzytelnieni użytkownicy mogą przechowywać dowolny JavaScript, który wykona się w kontekście administratora przeglądającego stronę.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie escapuje ustawienia szablonu formularza darowizny przed wyświetleniem go w atrybucie HTML. Użytkownicy z rolą GiveWP Worker i wyżej mogą wstrzykiwać dowolne skrypty webowe, które wykonują się na publicznym formularzu darowizny widocznym dla odwiedzających.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.0 nieprawidłowo weryfikuje, czy użytkownik ma dostęp do kursu, do którego należy wątek Q&A, przed zwróceniem lub zapisaniem do niego. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyżej, którzy mają dostęp do dowolnego pojedynczego kursu, mogą czytać wątki Q&A innych kursów oraz dodawać do nich odpowiedzi.

Wtyczka WP Delicious dla WordPressa przed wersją 1.10.2 nie sprawdza autoryzacji w jednej z akcji AJAX. Nieuwierzytelnieni użytkownicy mogą modyfikować ograniczone metadane postów (licznik polubień i powiązaną listę identyfikatorów) na dowolnych postach, w tym zawyżać licznik i nieograniczenie zwiększać przechowywane metadane.

Wtyczka LifterLMS dla WordPressa przed wersją 10.0.10 nie sprawdza uprawnień w jednym z handlerów AJAX select2 query, weryfikując jedynie, czy użytkownik jest zalogowany. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta na odczyt tytułów wewnętrznych typów postów, takich jak kody kuponów, poprzez podanie typu posta.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie wymaga wystarczających uprawnień na jednym z punktów końcowych REST do wyświetlania listy wizyt, ograniczając się tylko do uprawnień, które posiada każdy uwierzytelniony użytkownik, co pozwala użytkownikom z poziomem subskrybenta na odczyt wszystkich rezerwacji na stronie, w tym nazw klientów, harmonogramów i statusów.

Wtyczka Easy Appointments dla WordPressa przed wersją 3.12.28 nie weryfikuje własności ani uprawnień podczas zwracania zapisanych danych klienta, co pozwala użytkownikom z dostępem na poziomie subskrybenta na odczyt danych osobowych dowolnego klienta poprzez iterowanie identyfikatora.

Wtyczka LifterLMS dla WordPressa przed wersją 10.0.10 nie usuwa atrybutów obsługi zdarzeń z pola ceny kursu przed jego zapisaniem i wyświetleniem. Pozwala to użytkownikom z rolą edytora kursów na wstrzyknięcie JavaScript, który wykonuje się w sesji administratora przeglądającego kurs.

Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie wykonuje autoryzacji, sprawdzenia statusu ani widoczności podczas rozwiązywania produktów WooCommerce w funkcji porównywania produktów. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie tytułu, ceny i SKU produktów w wersji roboczej, oczekujących i prywatnych, które w przeciwnym razie są ukryte przed publicznym widokiem.

Wtyczka Essential Addons for Elementor dla WordPressa przed wersją 6.6.10 nie waliduje nazwy tagu HTML tytułu widżetu tabeli cen przed jego wyświetleniem. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie JavaScript, który zostanie wykonany (Stored Cross-Site Scripting) podczas przeglądania strony, w tym w sesji administratora podglądającego lub odwiedzającego post.

Wtyczka Animation Addons for Elementor do WordPressa przed wersją 2.7.0 nie dezynfekuje przesyłanych plików SVG/SVGZ, które dodaje do listy dozwolonych typów plików. Użytkownicy z uprawnieniem upload_files (Autor i wyżej) mogą przesyłać pliki zawierające złośliwy JavaScript, co prowadzi do trwałego ataku XSS.

Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje, czy żądana rezerwacja w panelu klienta należy do bieżącego użytkownika. Każdy zalogowany użytkownik może odczytać szczegóły rezerwacji innego klienta, w tym adres rozliczeniowy, podając dowolny identyfikator rezerwacji.

Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje powiadomień PayPal Instant Payment Notification poprzez uzgadnianie z PayPal przed oznaczeniem rezerwacji jako opłaconej. Niezalogowani atakujący mogą sfałszować powiadomienie, które zmienia dowolną oczekującą rezerwację na opłaconą i zarezerwowaną po wybranej przez atakującego cenie.

Wtyczka Fluent Forms do WordPressa przed wersją 6.2.6 nie dezynfekuje i nie escapuje jednego z ustawień konfiguracji pola formularza przed wyświetleniem go w skrypcie inline podczas renderowania formularza. Użytkownicy z rolą co najmniej Współautor (z delegowanym uprawnieniem zarządzania formularzami, ale bez unfiltered_html, np. w multisite) mogą przeprowadzić trwały atak XSS, który wykona się w przeglądarce każdego odwiedzającego formularz, w tym administratorów podglądających go.

Wtyczka WP Ghost (Hide My WP Ghost) do WordPressa przed wersją 7.0.05 nie weryfikuje, czy informacje o IP klienta pochodzą z zaufanego proxy, zanim zaufa nagłówkom HTTP kontrolowanym przez atakującego. Niezalogowani atakujący mogą sfałszować swój adres IP, aby ominąć ochronę przed brute-force i obniżyć poziom zapory ogniowej, dopasowując się do zakodowanej na stałe białej listy IP.

Wtyczka Frontend Admin by DynamiApps do WordPressa przed wersją 3.29.7 nie sprawdza uprawnień przy operacjach tworzenia, modyfikacji i usuwania terminów taksonomii. Zalogowani użytkownicy z niskimi uprawnieniami (np. Subskrybenci) mogą tworzyć, zmieniać nazwy i usuwać dowolne terminy taksonomii.