Katalog podatności CVE

Wtyczka Ayo Shortcodes dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'color' w shortcode ayo_action we wszystkich wersjach do 0.2 włącznie. Atak umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie Contributor lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Wtyczka WPLG Default Mail From dla WordPressa jest podatna na odbite XSS przez zmienną `$_SERVER['PHP_SELF']` we wszystkich wersjach do 1.0.0 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka Simple AL Slider dla WordPressa jest podatna na Reflected Cross-Site Scripting przez zmienną `$_SERVER['PHP_SELF']` we wszystkich wersjach do 1.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Category Dropdown List dla WordPressa jest podatna na odbite XSS przez zmienną `$_SERVER['PHP_SELF']` we wszystkich wersjach do 1.0 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka Like DisLike Voting dla WordPressa (wszystkie wersje do 1.0.1 włącznie) jest podatna na odbity Cross-Site Scripting (XSS) poprzez zmienną `$_SERVER['PHP_SELF']` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Complag dla WordPressa jest podatna na odbite XSS przez zmienną `$_SERVER['PHP_SELF']` we wszystkich wersjach do 1.0.2 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka App Landing Template Blocks for WPBakery Page Builder dla WordPressa jest podatna na przechowywany atak XSS poprzez shortcode 'atvc_video_play' we wszystkich wersjach do 2.0.2 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka BuddyTask dla WordPressa (wszystkie wersje do 1.3.0 włącznie) jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzenia uprawnień w wielu punktach końcowych AJAX. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym przeglądanie, tworzenie, modyfikowanie i usuwanie tablic zadań należących do dowolnej grupy BuddyPress, w tym grup prywatnych i ukrytych, których nie są członkami.

Wtyczka Animated Pixel Marquee Creator dla WordPressa jest podatna na atak typu Cross-Site Request Forgery poprzez parametr 'marquee' we wszystkich wersjach do 1.0.0 włącznie. Brak walidacji nonce w funkcji usuwania marquee pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych marquee, jeśli nakłoni administratora do kliknięcia w przygotowany link.

Wtyczka SimplyConvert dla WordPressa jest podatna na przechowywany atak XSS poprzez opcję 'simplyconvert_hash' we wszystkich wersjach do 1.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie administratora mogą wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka URL Media Uploader dla WordPressa w wersjach do 1.0.1 włącznie jest podatna na nieautoryzowane przesyłanie bezpiecznych plików z powodu braku sprawdzenia uprawnień w funkcji `url_media_uploader_url_upload_ajax_handler()`. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi przesyłanie bezpiecznych plików multimedialnych.

Wtyczka DebateMaster do WordPressa (wersje do 1.0.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez opcje kolorów w ustawieniach wtyczki. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Bold Timeline Lite dla WordPressa do wersji 1.2.7 jest podatna na Stored Cross-Site Scripting (XSS) przez parametr 'title' w shortcode 'bold_timeline_group' z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WP Dropzone dla WordPressa jest podatna na trwały atak XSS poprzez atrybut 'callback' shortcode'u w wersjach do 1.1.1 włącznie. Atrybuty nie są wystarczająco sanityzowane i escapowane, a następnie wykonywane jako kod JavaScript przez konstruktor `new Function()`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Wtyczka 评论小秘书 dla WordPressa jest podatna na odbite XSS przez zmienną `$_SERVER['PHP_SELF']` we wszystkich wersjach do 1.3.2 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia na stronie ustawień wtyczki. Pozwala to nieuwierzytelnionym atakującym wstrzykiwać dowolne skrypty na stronach, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, np. kliknięcia linku.

Wtyczka Purchase and Expense Manager dla WordPressa jest podatna na atak typu Cross-Site Request Forgery we wszystkich wersjach do 1.1.2 włącznie. Brak walidacji nonce w funkcji 'sup_pt_handle_deletion' pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych rekordów zakupów, jeśli nakłoni administratora do kliknięcia w przygotowany link.

Wtyczka Contact Form 7 with ChatWork dla WordPressa w wersjach do 1.1.0 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienia 'api_token' i 'roomid' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi stronę ustawień. Dotyczy to tylko instalacji multisite oraz instalacji, w których wyłączono `unfiltered_html`.

Wtyczka TWW Protein Calculator dla WordPressa w wersjach do 1.0.24 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez ustawienie 'Header' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji multisite oraz instalacji, w których wyłączono `unfiltered_html`.

Wtyczka Reviews Sorted dla WordPressa jest podatna na trwały atak XSS (Cross-Site Scripting) poprzez parametr 'space' w shortcode [reviews-slider] we wszystkich wersjach do 2.4.2 włącznie. Wynika to z niedostatecznej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wstrzyknąć dowolne skrypty na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Paypal Payment Shortcode dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'buttom_image' w shortcode [paypal-shortcode] we wszystkich wersjach do 1.01 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.