Katalog podatności CVE

Wtyczka Ninja Countdown | Fastest Countdown Builder dla WordPress jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'ninja_countdown_admin_ajax' we wszystkich wersjach do 1.5.0 włącznie. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi usunięcie dowolnych odliczań.

Wtyczka RandomQuotr dla WordPressa jest podatna na przechowywany atak XSS przez ustawienia administratora we wszystkich wersjach do 1.0.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji wielostanowiskowych oraz instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka Squirrels Auto Inventory dla WordPressa jest podatna na przechowywany atak XSS przez ustawienia administratora we wszystkich wersjach do 1.0.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji wielostanowiskowych oraz instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka YSlider dla WordPress jest podatna na atak Cross-Site Request Forgery prowadzący do Stored Cross-Site Scripting we wszystkich wersjach do 1.1 włącznie. Wynika to z braku weryfikacji nonce na stronie konfiguracji treści oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do wykonania czynności, takiej jak kliknięcie linku.

Wtyczka WP-Walla dla WordPress jest podatna na atak Cross-Site Request Forgery prowadzący do Stored Cross-Site Scripting we wszystkich wersjach do 0.5.3.5 włącznie. Wynika to z braku weryfikacji nonce na stronie ustawień oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do wykonania czynności, takiej jak kliknięcie linku.

Wtyczka USB Qr Code Scanner For Woocommerce dla WordPress jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 1.0.0 włącznie. Wynika to z braku walidacji nonce na stronie ustawień. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do wykonania czynności, takiej jak kliknięcie linku.

Wtyczka Fleet Manager dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 2.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami edytora lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono filtr unfiltered_html.

Wtyczka Private Google Calendars dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji 'pgc_remove' we wszystkich wersjach do 20250811 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zresetować ustawienia wtyczki.

Wtyczka WP Custom Admin Login Page Logo dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.4.8.4 włącznie. Brak walidacji nonce w funkcji wpclpl_save umożliwia nieuwierzytelnionym atakującym modyfikację ustawień wtyczki, jeśli administrator kliknie w spreparowany link.

Wtyczka The Total Book Project dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 1.0 włącznie, z powodu braku walidacji klucza kontrolowanego przez użytkownika w kilku funkcjach. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wykonywanie działań takich jak przenoszenie, usuwanie lub tworzenie rozdziałów w książkach, które nie należą do nich.

Wtyczka WP-OAuth dla WordPressa do wersji 0.4.1 włącznie jest podatna na Reflected XSS przez parametr 'error_description' z powodu niedostatecznej sanitizacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Double the Donation dla WordPressa jest podatna na przechowywany atak XSS w ustawieniach administratora w wersjach do 3.0.0 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami administratora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Featured Image dla WordPressa w wersjach do 2.1 włącznie jest podatna na przechowywane XSS poprzez metadane obrazu z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami administratora lub wyższymi mogą wstrzykiwać dowolne skrypty do stron. Problem dotyczy tylko instalacji multisite oraz tych, w których wyłączono unfiltered_html.

Wtyczka WordPress Add Multiple Marker we wszystkich wersjach do 1.2 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach addmultiplemarker_reset_map() i amm_save_map_api(). Umożliwia to nieuwierzytelnionym atakującym aktualizację API mapy i resetowanie map.

Wtyczka Document Pro Elementor – Documentation & Knowledge Base dla WordPressa w wersjach do 1.0.9 włącznie ujawnia wrażliwe klucze API Algolia w kodzie JavaScript frontendu poprzez wp_localize_script bez odpowiednich ograniczeń dostępu. Nieuwierzytelnieni atakujący mogą zobaczyć te klucze w źródle strony.

Wtyczka Find Unused Images dla WordPressa w wersjach do 1.0.7 włącznie jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcjach fui_delete_image() i fui_delete_all_images(). Umożliwia to nieuwierzytelnionym atakującym usunięcie wszystkich załączników w witrynie.

Wtyczka Crypto dla WordPressa jest podatna na nieautoryzowaną manipulację danymi we wszystkich wersjach do 2.22 włącznie. Wynika to z rejestracji nieuwierzytelnionej akcji AJAX (wp_ajax_nopriv_crypto_connect_ajax_process), która pozwala na wywołanie metody crypto_delete_json z jedynie publicznie dostępnym sprawdzeniem nonce. Umożliwia to nieuwierzytelnionym atakującym usuwanie określonych plików JSON pasujących do wzorca *_pending.json w katalogu wp-content/uploads/yak/, powodując utratę danych i denial of service dla przepływów pracy wtyczki.

Wtyczka Crypto dla WordPressa w wersjach do 2.22 włącznie jest podatna na ujawnienie informacji. Rejestruje nieuwierzytelnioną akcję AJAX (wp_ajax_nopriv_crypto_connect_ajax_process), która pozwala wywołać metody register i savenft jedynie z publicznie dostępnym nonce i bez weryfikacji podpisu portfela. Umożliwia to nieuwierzytelnionemu atakującemu ustawienie globalnego stanu uwierzytelnienia witryny przez pojedynczy transient, omijając kontrolę dostępu dla wszystkich odwiedzających na godzinę, oraz wstrzyknięcie dowolnych danych do tabeli custom_users.

Wtyczka Shelf Planner dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w kilku punktach końcowych REST API w wersjach do 2.8.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień, takich jak ServerKey i LicenseKey.

Wtyczka Shelf Planner do WordPressa (wersje do 2.8.1 włącznie) jest podatna na ujawnienie wrażliwych informacji poprzez publicznie dostępne pliki logów. Nieuwierzytelnieni atakujący mogą przeglądać potencjalnie wrażliwe informacje zawarte w tych plikach.