CVE-2026-24573

Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.

Wtyczka Visualizer dla WordPressa w wersjach przed 4.0.6 nieprawidłowo autoryzuje dostęp do działań związanych z budowaniem wykresów. Umożliwia to użytkownikom z rolą Contributor i wyższą publikowanie, zmianę nazw i nadpisywanie treści wpisów i stron, których nie są właścicielami, w tym prywatnych szkiców innych użytkowników.

Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.

Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.