CVE-2026-13733

Wtyczka Download Manager dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'REFERRER' we wszystkich wersjach do 3.3.57 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce ofiary.

Wtyczka Download Manager dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'not_found' we wszystkich wersjach do 3.3.58 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().

Wtyczka Download Manager (wersje do 3.3.71) ma podatność Authorization Bypass Through User-Controlled Key, umożliwiającą odzyskanie osadzonych wrażliwych danych. Atakujący może wykorzystać kontrolowany przez użytkownika klucz do ominięcia autoryzacji.

Wtyczka Download Manager dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez Display Name we wszystkich wersjach do 3.3.70 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to obecności shortcode'u [wpdm_edit_profile] na stronie front-endu dostępnej dla użytkowników na poziomie Subscriber, którzy mogą następnie przesłać wielokrotnie zakodowany ładunek poprzez pole display name, aby obejść sanityzację.

Wtyczka Download Manager przed wersją 7.5.6 nie sanityzuje ani nie escapuje danych przesyłanych przez formularz subskrypcji pobierania zablokowanego adresem e-mail przed wyświetleniem ich z powrotem na stronie administracyjnej. Może to umożliwić nieuwierzytelnionym atakującym przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom. Dotyczy to wyłącznie komercyjnej edycji Pro; darmowa wtyczka Download Manager przed wersją 7.5.6 opublikowana pod tym samym slugiem nie zawiera tej funkcji.

Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.

Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.