Podatności Otter Blocks WordPress plugin

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ogranicza wzorzec używany do przepisywania tokenów dynamicznej zawartości podczas renderowania bloków, przez co wzorzec może pochłonąć cudzysłów zamykający atrybut HTML i wciągnąć sąsiednie nieescapowane dane do znaczników jako nowe atrybuty. Pozwala to nieuwierzytelnionym użytkownikom na trwały Cross-Site Scripting, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanego administratora.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.