Katalog podatności CVE

Wtyczka SiteOrigin CSS dla WordPressa (wersje do 1.6.7 włącznie) jest podatna na przechowywany DOM-based Cross-Site Scripting poprzez parametr 'url (comment_author_url)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Search Regex dla WordPressa w wersji 3.5 jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych wejściowych w funkcji replace_all. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć obiekt PHP, a obecność łańcucha POP pozwala na wykonanie kodu.

Wtyczka Simply Schedule Appointments dla WordPressa (wersje do 1.6.12.35 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'status' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa (wersje do 3.5.54 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez przesyłanie plików z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka 10Web Booster dla WordPressa (wersje do 2.34.5 włącznie) jest podatna na ograniczony zapis plików poprzez path traversal. Nieuwierzytelniony atakujący może tworzyć dowolne katalogi poza katalogiem cache i zapisywać w nich zbuforowane strony, co prowadzi do zatrucia cache i tworzenia katalogów.

Wtyczka User Profile Builder dla WordPressa (wersje do 4.0.3 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole First Name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy w Profile Builder włączona jest funkcja potwierdzania adresu e-mail.

Wtyczka Nexter Extension dla WordPressa (wersje do 4.7.11 włącznie) jest podatna na eskalację uprawnień. Handler /?reset-view w funkcji role_switcher_to_view_admin_as() nie sprawdza nonce ani uprawnień, a mechanizm czyszczenia oparty na hooku profile_update nie uruchamia się przy masowej zmianie roli przez wp-admin/users.php?action=promote, pozostawiając nieaktualną wartość 'administrator' w metadanych użytkownika.

Wtyczka Klarna for WooCommerce dla WordPressa (wersje do 4.13.3 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może uzyskać dostęp do klucza order_key oraz pełnych danych osobowych rozliczeniowych i wysyłkowych (imię, nazwisko, e-mail, telefon, adres, kod pocztowy, miasto, region, kraj) dowolnego zamówienia, które są ujawniane w zmiennej JavaScript klarna_payments_params.

Wtyczka Mang Board dla WordPressa (wersje do 2.4.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa (wersje do 0.1.4.1 włącznie) jest podatna na eskalację uprawnień. Strona administracyjna wtyczki jest rejestrowana z użyciem nazwy roli zwracanej przez InstaWP_Setting::get_allowed_role() jako wymaganej zdolności, a pole z kluczem API jest renderowane jako zwykły tekstowy input bez dodatkowej weryfikacji uprawnień manage_options. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może odczytać jawny klucz API, użyć jego sekretu jako tokenu bearer w REST API wtyczki i wywołać POST /wp-json/instawp-connect/v2/auto-login, aby uzyskać 30-sekundowy link logowania ustawiający cookie administratora.

Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa (wersje do 3.16.0.6 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może pobrać dane rozliczeniowe (imię i nazwisko, adres, e-mail, telefon) dla dowolnego zamówienia WooCommerce, podając kolejny identyfikator zamówienia.

Wtyczka Modula Image Gallery dla WordPressa (wersje do 3.0.11 włącznie) jest podatna na ujawnienie poufnych informacji poprzez parametr 'id' w /wp-json/wp/v2/modula-gallery/{id}. Nieuwierzytelniony atakujący może wyodrębnić hasło i nazwę użytkownika zabezpieczające galerię z pola modulaSettings REST dla każdej opublikowanej galerii.

Wtyczka miniOrange OTP Login dla WordPressa (wersje do 5.5.8 włącznie) jest podatna na obejście uwierzytelniania poprzez funkcję mo_by_pass_login(). Funkcja mo_delay_otp_process() skraca proces uwierzytelniania przed walidacją hasła, a flaga Delay OTP jest przechowywana w metadanych użytkownika bez powiązania z sesją, co pozwala nieuwierzytelnionemu atakującemu zalogować się jako dowolny użytkownik, w tym administrator.

Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.

Wtyczka Complianz GDPR/CCPA Cookie Consent Banner dla WordPressa (wersje do 7.5.5 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez zawartość komentarzy i filtr yotu-wp Cookie-Blocker z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Backuply dla WordPressa (wersje do 1.5.8) jest podatna na wstrzyknięcie SQL typu second-order poprzez pole 'Biographical Info'. Wartość jest eksportowana bez zabezpieczeń do zrzutu SQL kopii zapasowej, a przy późniejszym przywracaniu kopii złośliwy ładunek może wykonać dowolne zapytania SQL z pełnymi uprawnieniami bazy danych.

Wheels CLI w wersjach 4.0.0–4.1.1 niewystarczająco waliduje lub escapuje wartości podane przez użytkownika oraz zawartość pakietów. Może to prowadzić do wykonania poleceń powłoki na hostach wdrożeniowych i w runnerze CI, usunięcia niepożądanych plików, nadpisania plików innych dostawców, zapisu poza projektem, wstrzyknięcia wykonywalnego CFML, przechowywanego XSS oraz zakończenia niepowiązanego procesu.

Wheels w wersjach 1.1–4.1.2 rozwiązuje rekordy nestedProperties() na podstawie przesłanego klucza głównego bez sprawdzenia, czy należą do zapisywanego rodzica. Użytkownik może zaktualizować, przepisać lub usunąć rekordy hasMany/hasOne innego rodzica, a także edytować rekordy belongsTo, podając klucz innego powiązanego rekordu.

Wheels w wersjach 4.0.0–4.1.2 udostępnia narzędzia deweloperskie bez hasła pod /wheels/* zdalnym klientom, gdy enablePublicComponent=true (domyślnie w środowisku deweloperskim). W wersji 4.1.2 ograniczenie lokalnego dostępu opiera się na nagłówkach dostarczanych przez klienta bez weryfikacji peera.