CVE-2026-42640

Wtyczka Classified Listing (classified-listing) od Mamunur Rashid zawiera podatność typu Stored Cross-site Scripting (XSS), wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 6.1.2 włącznie.

Podatność XSS w wtyczce Classified Listing w wersjach do 6.1.3, która może być wykorzystana bez uwierzytelnienia.

Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.

Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Wtyczka Classified Listing (classified-listing) autorstwa Mamunur Rashid do wersji 6.1.3 ma brak autoryzacji, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL).

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.

Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.

W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.