Katalog podatności CVE

Wtyczka Easy Theme Options dla WordPressa (wszystkie wersje do 1.0 włącznie) jest podatna na brak autoryzacji z powodu braku sprawdzeń w funkcji eto_import_settings. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym importowanie dowolnych ustawień wtyczki poprzez parametr 'eto_import_settings'.

Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX SubmitCatProductRequest. Umożliwia to nieuwierzytelnionym atakującym tworzenie dowolnych produktów WooCommerce z niestandardowymi nazwami, cenami i przypisanymi kategoriami za pomocą parametrów 'Name', 'Price' i 'Parent'.

Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX RemoveItems. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych kategorii produktów WooCommerce, w tym wszystkich podkategorii, za pomocą parametru 'catIds'.

Wtyczka Gallery Blocks with Lightbox dla WordPressa w wersjach do 3.3.0 włącznie pozwala uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi na modyfikację ustawień wtyczki. Wynika to z używania sprawdzenia uprawnień `edit_posts` zamiast `manage_options` w handlerze AJAX `pgc_sgb_action_wizard`. Umożliwia to zmianę dowolnych ustawień wtyczki o prefiksie `pgc_sgb_*`.

Wtyczka HT Slider for Elementor dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez parametr 'slide_title' we wszystkich wersjach do 1.7.4 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia w JavaScript.

Wtyczka Custom Post Type UI dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'label' podczas importu niestandardowego typu posta we wszystkich wersjach do 1.18.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escape'owania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi stronę Tools → Get Code.

Wtyczka Design Import/Export dla WordPress do wersji 2.2 włącznie jest podatna na SQL Injection przez import plików XML. Z powodu niedostatecznego escapowania parametrów i braku przygotowania zapytań, uwierzytelnieni atakujący z uprawnieniami administratora mogą dołączać dodatkowe zapytania SQL i wyciągać wrażliwe informacje z bazy.

Wtyczka Custom Frames dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez parametr 'class' w shortcode 'customframe' we wszystkich wersjach do 1.0.1 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Employee Spotlight – Team Member Showcase & Meet the Team dla WordPressa w wersjach do 5.1.3 włącznie jest podatna na nieautoryzowaną modyfikację ustawień śledzenia z powodu braku walidacji autoryzacji w funkcji `employee_spotlight_check_optin()`. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Subscriber i wyższymi włączanie lub wyłączanie ustawień śledzenia.

Wtyczka Devs CRM – Manage tasks, attendance and teams all together dla WordPressa do wersji 1.1.8 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w punkcie końcowym REST-API '/wp-json/devs-crm/v1/bulk-update'. Umożliwia to nieuwierzytelnionym atakującym aktualizację tagów leadów.

Wtyczka Devs CRM – Manage tasks, attendance and teams all together dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API /wp-json/devs-crm/v1/attendances we wszystkich wersjach do 1.1.8 włącznie. Umożliwia to nieuwierzytelnionym atakującym pobieranie prywatnych danych użytkowników, w tym hashy haseł.

Wtyczka GenerateBlocks dla WordPressa w wersjach do 2.1.2 włącznie jest podatna na ujawnienie informacji z powodu braku kontroli autoryzacji na poziomie obiektu. Rejestruje wiele tras REST API pod generateblocks/v1/meta/, które kontrolują dostęp przez current_user_can('edit_posts'), przyznawane niskouprawnionym rolom takim jak Contributor. Handlery przyjmują dowolne identyfikatory encji (ID użytkowników, postów itp.) i klucze meta, zwracając żądane metadane z jedynie krótką czarną listą kluczy podobnych do haseł. Brak autoryzacji na poziomie obiektu i białej listy bezpiecznych kluczy pozwala uwierzytelnionemu atakującemu z rolą Contributor lub wyższą na wyciek danych osobowych (PII) i innych wrażliwych danych profilowych administratorów lub innych użytkowników przez bezpośrednie odpytywanie kluczy meta użytkownika przez funkcję get_user_meta_rest. W typowych konfiguracjach WordPress + WooCommerce obejmuje to imiona, e-maile, telefony i adresy przechowywane w meta użytkownika, umożliwiając ukierunkowany phishing, pretekst do przejęcia konta i naruszenia prywatności.

Wtyczka myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program dla WordPressa do wersji 2.9.7 włącznie jest podatna na brak autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień, nieuwierzytelnieni atakujący mogą zatwierdzać wnioski o wypłatę, modyfikować salda punktów użytkowników i manipulować systemem płatności za pomocą akcji AJAX cashcred_pay_now.

Wtyczka Header Footer Script Adder – Insert Code in Header, Body & Footer dla WordPressa jest podatna na przechowywany atak XSS (Cross-Site Scripting) poprzez dodawanie skryptów w postach. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escapingu wyjścia. Dotyczy wszystkich wersji do 2.0.5 włącznie.

Wtyczka WP to LinkedIn Auto Publish dla WordPressa jest podatna na odbite XSS przez parametr PostMessage we wszystkich wersjach do 1.9.8 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka Social Media Auto Publish dla WordPressa jest podatna na odbite XSS przez parametr PostMessage we wszystkich wersjach do 3.6.5 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka Emplibot – AI Content Writer dla WordPressa jest podatna na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 1.0.9 włącznie, poprzez funkcje emplibot_call_webhook_with_error() i emplibot_process_zip_data(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej wykonywanie żądań do dowolnych lokalizacji z poziomu aplikacji, co może być użyte do odpytywania i modyfikowania informacji z wewnętrznych usług.

Wtyczka Login Lockdown & Protection dla WordPressa do wersji 2.14 ma podatność na obejście blokady IP. Klucz odblokowujący jest niewystarczająco losowy, co pozwala nieuwierzytelnionym użytkownikom z dostępem do e-maila administratora generować ważne klucze i omijać blokady.

Wtyczka Colibri Page Builder dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez shortcode 'colibri_loop' we wszystkich wersjach do 1.0.335 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Motyw Mavix Education dla WordPressa jest podatny na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w akcji AJAX 'mavix_education_activate_plugin' we wszystkich wersjach do 1.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej aktywację wtyczki Creativ Demo Importer.