CVE-2026-39615

Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.

Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.

Wtyczka Download Manager dla WordPressa do wersji 3.3.61 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty 'note_before' i 'note_after' w shortcode'ach. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Download Manager dla WordPressa jest podatna na trwałe ataki XSS przez atrybut shortcode 'no_data_msg' we wszystkich wersjach do 3.3.60 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i ucieczki wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów.

Wtyczka Download Manager dla WordPress do wersji 3.3.52 zawiera podatność na Stored XSS przez atrybut 'sid' shortcode'u 'wpdm_members'. Brak odpowiedniej sanityzacji i eskejpowania danych wejściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.

Wtyczka Download Manager dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.3.52 włącznie.