Podatności WordPress

WordPress w wersjach do 4.8.2 wykorzystuje słaby algorytm haszowania haseł oparty na MD5, co ułatwia atakującym określenie wartości w postaci czystego tekstu poprzez dostęp do wartości haszy.

W WordPressie przed wersją 4.7.5 występuje niewystarczająca walidacja przekierowań w klasie HTTP, co prowadzi do podatności na SSRF.

W WordPressie przed wersją 4.7.5 brakuje kontroli uprawnień dla metadanych postów w API XML-RPC.

W WordPressie przed wersją 4.7.5 występuje podatność na Cross Site Request Forgery (CSRF) w dialogu poświadczeń systemu plików, ponieważ nie wymaga on nonce do aktualizacji poświadczeń.

W WordPressie przed wersją 4.7.5 występuje niewłaściwe przetwarzanie wartości metadanych postów w API XML-RPC.

Podatność typu directory traversal w funkcji wp_ajax_update_plugin w WordPressie 4.5.3 pozwala zdalnym, uwierzytelnionym użytkownikom na wywołanie odmowy usługi lub odczytanie określonych plików tekstowych poprzez wykorzystanie parametru .. (kropka kropka) w żądaniu do wp-admin/admin-ajax.php.

Podatność CSRF w WordPressie przed wersją 4.7.1 umożliwia zdalnym atakującym przejęcie uwierzytelnienia nieokreślonych ofiar poprzez wykorzystanie wektorów związanych z przesyłaniem plików Flash.

WordPress przed wersją 4.5 nie uwzględnia formatów adresów IP w systemie ósemkowym i szesnastkowym przy określaniu adresu intranetowego, co pozwala zdalnym atakującym na obejście zamierzonego mechanizmu ochrony SSRF za pomocą spreparowanego adresu.

WordPress w wersjach przed 4.5.3 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony sanitize_file_name za pomocą nieokreślonych wektorów.

WordPress w wersjach przed 4.5.3 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń zmiany hasła poprzez wykorzystanie wiedzy o ciasteczku.

WordPress w wersjach przed 4.5.3 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu oraz usunięcie atrybutu kategorii z posta za pomocą nieokreślonych wektorów.

WordPress w wersjach przed 4.5.3 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji o historii rewizji, wykorzystując możliwość odczytu posta, co jest związane z plikami wp-admin/includes/ajax-actions.php oraz wp-admin/revision.php.

Funkcja wp_http_validate_url w WordPressie przed wersją 4.4.2 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) poprzez zerową wartość w pierwszym oktetcie adresu IPv4 w parametrze u do wp-admin/press-this.php.

Podatność w WordPress 0.70 umożliwia zdalnym atakującym wykonanie dowolnego kodu PHP poprzez zdalne dołączenie pliku. Problem występuje w pliku wp-links/links.all.php, gdzie atakujący może manipulować zmienną $abspath.

WordPress jest podatny na odzwierciedlony atak XSS przed uwierzytelnieniem na ekranie logowania. Poprzez specjalnie spreparowaną złośliwą stronę internetową atakujący może eskalować atak do RCE, ale wymaga to socjotechniki i interakcji ofiary. Problem dotyczy wszystkich wersji WordPressa; poprawka wydana w wersji 7.0.3 i backportowana do starszych gałęzi od 4.7.

Wtyczka Word Count and Social Shares dla WordPressa do wersji 1.0 nie weryfikuje ścieżki pliku podanej przez użytkownika przed jego usunięciem, ani nie posiada odpowiednich mechanizmów autoryzacji i ochrony przed CSRF. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, usunięcie dowolnych plików na serwerze, co może prowadzić do całkowitego przejęcia witryny (np. poprzez usunięcie pliku wp-config.php).

WordPress w wersjach przed 4.8.3 jest podatny na problem, w którym funkcja $wpdb->prepare() może generować nieoczekiwane i niebezpieczne zapytania, co prowadzi do potencjalnej podatności na SQL injection (SQLi) w wtyczkach i motywach.

Przed wersją 4.8.2, WordPress niewłaściwie obsługiwał znaki % oraz dodatkowe wartości zastępcze w $wpdb->prepare, co mogło prowadzić do ataków SQL injection przez wtyczki i motywy.

Nieuwierzytelniony atakujący może sprawić, że rozwiązywanie szablonu strony `get_page_template()` dołączy wybrany lokalny plik `.php` spoza aktywnych katalogów motywów. Przy spełnieniu odpowiednich warunków może to prowadzić do zdalnego wykonywania kodu.

WordPress jest podatny na zdalne wykonanie kodu poprzez złośliwe przesłanie pliku Postscript przez użytkownika z rolą Autora lub wyższą. Warunkiem jest użycie Imagick i Ghostscript na serwerze oraz możliwość przesyłania plików przez atakującego.

Wtyczka WordPress admin-word-count-column 2.2 zawiera podatność na lokalny odczyt plików, umożliwiającą nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez wstrzyknięcie bajtu null w parametrze ścieżki. Atakujący mogą wysyłać żądania GET do download-csv.php z spreparowanym parametrem ścieżki zawierającym sekwencje przejścia katalogów i bajty null, aby ominąć ograniczenia plików i odczytać wrażliwe pliki, takie jak konfiguracja systemu.

Wtyczka JaviBola Custom Theme Test dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.0.5 włącznie. Brak walidacji nonce na stronie opcji umożliwia nieuwierzytelnionym atakującym zmianę aktywnego motywu witryny poprzez modyfikację opcji jbct_theme za pomocą sfałszowanego żądania, pod warunkiem że nakłonią administratora do kliknięcia w link.

Wtyczka Email Encoder – Protect Email Addresses and Phone Numbers dla WordPress do wersji 2.2.0 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode'y z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami przynajmniej contributora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.