Katalog podatności CVE

Wtyczka HivePress dla WordPressa do wersji 1.7.31 włącznie jest podatna na przechowywany XSS przez parametr 'custom text attribute'. Wymaga to skonfigurowania atrybutu tekstowego z formatem wyświetlania umieszczającym token %value% wewnątrz atrybutu HTML.

Wtyczka Simple Newsletter Plugin – Noptin dla WordPressa do wersji 4.3.10 włącznie jest podatna na przechowywany XSS przez parametr 'noptin_fields[<custom_field_merge_tag>]'. Atak wymaga opublikowanej kampanii z tagiem [[subscriber.*]] i wykorzystuje formularz manage_preferences.

Wtyczka Download Manager dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'not_found' we wszystkich wersjach do 3.3.58 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.

Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.

Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress do wersji 4.7.13 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji process. Nieuwierzytelnieni atakujący mogą usuwać dowolne bezpieczne pliki na serwerze, wykorzystując publiczny nonce dostępny w JavaScript na stronach z galerią rtMedia.

Wtyczka Filter Everything — WordPress & WooCommerce Filters dla WordPressa jest podatna na odbity atak XSS w wersjach do 1.9.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia w funkcji flrt_elementor_load_more_anchor(). Funkcja odczytuje parametry zapytania z $_SERVER['REQUEST_URI'] przez getFormActionOrFullPageUrl(true), które dekoduje je przez parse_str() i ponownie składa za pomocą build_query() — funkcji rdzenia WordPressa, która NIE koduje ponownie wartości ($urlencode=false). Wynikowy URL, zawierający nieucieczone znaki specjalne, jest wstrzykiwany do atrybutu HTML data-next-page przez preg_replace() bez esc_attr() lub esc_url(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.

Wtyczka Hello Plus dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.7.7 włącznie, z powodu nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym publikowanie własnych szablonów Hello+ header/footer oraz edytowanie (przygotowywanie wersji roboczych) aktualnie aktywnych szablonów należących do użytkowników z wyższymi uprawnieniami.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.

Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.

Wtyczka FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment dla WordPressa jest podatna na ogólny SQL Injection przez warunek wyświetlania formularza FireBox we wszystkich wersjach do 3.1.13 włącznie, z powodu niewystarczającej ucieczki parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Na świeżych instalacjach w wersji 3.1.10 i nowszych wykorzystanie wymaga dostępu na poziomie administratora; jednak na stronach zaktualizowanych z wersji wcześniejszej niż 3.1.10, migracja preserveCampaignRoleAccess() nadaje uprawnienie edit_fireboxes każdej roli, która wcześniej miała edit_posts, zmniejszając minimalny wymagany przywilej do poziomu autora.

Wtyczka Fastcache by Host.it do wersji 1.7.4 włącznie jest podatna na wstrzykiwanie kodu przez parametr `fastcache_settings[cache_cookie_exclude][]`. Rejestracja ustawienia bez sanitize_callback oraz interpolacja wartości do linii RewriteCond w .htaccess bez usuwania znaków nowej linii umożliwia uwierzytelnionym administratorom wstrzyknięcie dowolnych dyrektyw Apache, w tym php_value auto_prepend_file, co pozwala na wykonanie kodu PHP przy każdym żądaniu.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPressa jest podatna na odbity atak XSS przez parametr 'inputs (array key)' we wszystkich wersjach do 1.15.48 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.

Wtyczka 3D Product configurator dla WooCommerce do wersji 2.16.2 włącznie jest podatna na zdalne wykonanie kodu przez parametr 'xpv_image'. Brak uwierzytelniania i kontroli nonce w handlerze wp_loaded oraz brak sanityzacji parametru przed wstawieniem do szablonu HTML renderowanego przez Dompdf z włączonym PHP umożliwia nieuwierzytelnionym atakującym wykonanie kodu na serwerze.

Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.14 włącznie jest podatna na Reflected Cross-Site Scripting przez parametr 'any attacker-chosen name matching the {get.NAME} placeholder' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby administrator skonfigurował pole Custom HTML na opublikowanym formularzu zawierające SmartCode {get.*} w atrybucie akceptującym URL, takim jak iframe src lub a href.