CVE-2026-110894

Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.

W wtyczce SureDash w wersjach do 1.12.3 występuje podatność umożliwiająca użytkownikowi z rolą subskrybenta usuwanie dowolnych plików.

Brak autoryzacji w wtyczce SureDash firmy Brainstorm Force pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.12.3 włącznie.

Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce SureDash firmy Brainstorm Force pozwala na przechowywany XSS. Podatność dotyczy wersji do 1.12.3 włącznie.

Wtyczka WordPress 'SureDash' (wersje do 1.12.2) ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać akcje, do których nie powinien mieć uprawnień.

Wtyczka SureDash (Brainstorm Force) w wersjach do 1.12.2 zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'display_name' we wszystkich wersjach do 1.12.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się gdy użytkownik najedzie na licznik polubień komentarza, ponieważ handler tooltipa przypisuje wartość atrybutu data-tooltip-description bezpośrednio do innerHTML.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPress jest podatna na trwałe DOM-based Cross-Site Scripting poprzez atrybut 'alt' obrazu w treści postów społeczności we wszystkich wersjach do 1.12.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.

Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.