Katalog podatności CVE

Wtyczka Knit Pay – Cashfree, Instamojo, Razorpay, PayPal and more dla WordPressa (wersje do 9.6.1.0 włącznie) jest podatna na eskalację uprawnień. Funkcja maybe_update_user_role() odczytuje docelową rolę bezpośrednio z pola formularza Gravity Forms kontrolowanego przez atakującego i przekazuje ją do WP_User::set_role() bez walidacji względem listy dozwolonych ról. Uwierzytelniony atakujący z uprawnieniami subskrybenta może podnieść swoje uprawnienia do administratora, manipulując ukrytym polem roli podczas przesyłania formularza. Wykorzystanie ułatwia fakt, że zamówienia o wartości 0 USD są oznaczane jako SUCCESS bez rzeczywistej płatności, a gdy nie można rozwiązać użytkownika rejestracji GF, przypisanie roli spada na $lead['created_by'] – identyfikator aktualnie uwierzytelnionego użytkownika.

Wtyczka Modula Image Gallery – Photo Grid & Video Gallery dla WordPressa (wersje do 3.0.1 włącznie) jest podatna na nieautoryzowane ujawnienie zawartości prywatnych galerii. Funkcja Modula_Meta::add_metas() jest podpięta do wp_head przy każdym żądaniu frontendu i wyszukuje dowolny post przez get_post($_GET['modula_gallery_id']) bez weryfikacji statusu postu lub uprawnień żądającego. Nieuwierzytelniony atakujący może wyliczyć prywatne posty modula-gallery i ich załączniki oraz odzyskać tytuł, opis, wymiary i oryginalny URL przesłanego obrazu poprzez tagi meta Open Graph/Twitter, co umożliwia bezpośrednie nieuwierzytelnione pobranie oryginalnych prywatnych obrazów.

Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'page_title' oraz Smart Tag {page_title} w wersjach do 2.0.2 włącznie z powodu niewystarczającej sanityzacji i escapowania. Luka jest wykorzystywana tylko w formularzach, których komunikat potwierdzenia umieszcza Smart Tag {page_title} w kontekście atrybutu HTML.

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na przechowywany XSS poprzez parametr 'elements[].title' w zamówieniu shortcode z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty ładunek jest zapisywany do DOM poprzez innerHTML w obsłudze zdarzenia JavaScript beforeElementAdd podczas przetwarzania pola elements[].title z zapisanego JSON zamówienia, co oznacza, że wykonanie następuje konkretnie, gdy administrator przegląda zamówienia shortcode w panelu administracyjnym WordPressa.

Wtyczka s2Member – Excellent for All Kinds of Memberships, Content Restriction Paywalls & Member Access Subscriptions dla WordPressa (wersje do 260814 włącznie) jest podatna na zdalne wykonanie kodu poprzez parametr 'first_name'. Wynika to z niewystarczającej sanityzacji parametru first_name poprzez esc_refs(), która usuwa tylko odwołania wsteczne regex, a nie tagi PHP, przed podstawieniem do szablonu Signup Tracking Codes eval'd, w połączeniu z ujawnieniem klucza weryfikacji proxy witryny, który pozwala obejść weryfikację postback PayPal. Nieuwierzytelniony atakujący może wykonać kod na serwerze. Udane wykorzystanie wymaga, aby administrator skonfigurował szablon Signup Tracking Codes zawierający placeholder %%first_name%% (udokumentowana funkcja obsługiwana przez GUI) i aby atakujący uzyskał klucz weryfikacji proxy witryny, który jest ujawniany w postaci zwykłego tekstu w odpowiedzi JSON dowolnego żądania AJAX PayPal Checkout w witrynie docelowej.

Wtyczka SSL Zen dla WordPress jest podatna na przejście przez katalogi (Directory Traversal) w wersjach do 4.7.42 włącznie poprzez parametr 'file_name'. Umożliwia to odczyt dowolnych plików na serwerze.

Wtyczka SSL Zen dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametry 'uri' i 'host' w wersjach do 4.7.42 włącznie. Funkcja getMessages() dekoduje base64 z danych wejściowych i wyświetla surowy HTML bez escapowania.

Wtyczka WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters dla WordPressa (wersje do 4.9.8 włącznie) jest podatna na lokalne włączenie plików poprzez parametr 'page'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może włączyć i wykonać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP w tych plikach. Może to być wykorzystane do obejścia kontroli dostępu, uzyskania wrażliwych danych lub osiągnięcia wykonania kodu w przypadkach, gdy pliki .php mogą być przesłane i włączone.

Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.

Wtyczka Asset CleanUp: Page Speed Booster dla WordPress jest podatna na fałszowanie żądań po stronie serwera (SSRF) w wersjach do 1.4.0.5 włącznie poprzez parametr 'page_url'. Luka jest osiągalna tylko gdy ustawienie dom_get_type jest skonfigurowane na 'wp_remote_post'.

W Keycloak funkcja mTLS holder-of-key binding wiąże token z certyfikatem klienta, który go zażądał. Nowa funkcja Standard Token Exchange V2 nie sprawdza tego certyfikatu, co pozwala atakującemu z skradzionymi poświadczeniami klienta uzyskać standardowy, nieograniczony token.

Wtyczka GeoDirectory dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'business_hours' w wersjach do 2.8.183 włącznie z powodu niewystarczającej sanityzacji i escapowania. Handler AJAX sprawdza tylko autorstwo wpisu i nonce, bez dodatkowej weryfikacji uprawnień.

Wtyczka BA Book Everything dla WordPressa (wersje do 1.8.27 włącznie) jest podatna na przechowywany XSS poprzez parametr first_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelniony atakujący może uzyskać ważne poświadczenia order_id, order_num i order_hash wymagane do osiągnięcia podatnego handlera action_to_pay() po prostu składając rezerwację gościa przez publiczny shortcode [babe-booking-form], co czyni pełny łańcuch exploitacji osiągalnym bez żadnego konta.

Wtyczka Better Messages dla WordPressa (wersje do 3.0.4 włącznie) jest podatna na trwały DOM-based Cross-Site Scripting poprzez nazwę wyświetlaną użytkownika. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może zapisać złośliwy skrypt, który wykona się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Better Messages dla WordPressa (wersje do 3.0.4 włącznie) jest podatna na ogólną injekcję SQL poprzez parametr 'group_id' w metadanych wiadomości. Z powodu niewystarczającego escapowania danych wejściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Podatność w bibliotece Ash pozwala użytkownikowi ustawić wartość prywatnego argumentu akcji na ścieżkach masowego usuwania i masowej aktualizacji. Argumenty zadeklarowane jako public?: false powinny być ustawiane tylko przez zaufany kod serwerowy, ale brak sprawdzenia public? w tych ścieżkach umożliwia ich modyfikację z danych wejściowych użytkownika.

Wtyczka Bookly dla WordPressa (do wersji 28.2 włącznie) jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) poprzez akcje AJAX 'bookly_get_form_id', 'bookly_render_complete', 'bookly_add_to_calendar' i 'bookly_rollback_order'. Handler 'bookly_get_form_id' zapisuje kontrolowane przez atakującego 'order_id' do nowej sesji rezerwacji, a 'bookly_render_complete' ufa mu i zwraca token zamówienia bez weryfikacji właściciela sesji. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów zamówień, ujawnianie tokenów innych klientów, pobieranie informacji o kalendarzu/wizytach oraz trwałe usuwanie rezerwacji.

Wtyczka HT Contact Form – Drag & Drop Form Builder dla WordPressa (wersje do 2.10.1 włącznie) jest podatna na przechowywany DOM-based XSS poprzez pole Rich Text 'form_data' podczas zapisu/wznowienia szkicu z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga nakłonienia użytkownika do kliknięcia dostarczonego przez atakującego URL wznowienia szkicu, który atakujący konstruuje używając draft_key i access_token zwróconych bezpośrednio w odpowiedzi zapisu.

Wtyczka Blog2Social dla WordPressa (wersje do 9.1.0 włącznie) jest podatna na obejście autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika uwierzytelniony atakujący z uprawnieniami współpracownika może przeglądać, modyfikować lub usuwać rekordy Blog2Social innych użytkowników, w tym ujawniać identyfikatory uwierzytelniające sieci społecznościowych i treści zaplanowanych postów.