Katalog podatności CVE

Wtyczka aThemes Addons for Elementor dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez widget Call To Action w wersjach do 1.1.5 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Saphali LiqPay for donate dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez shortcode 'saphali_liqpay' we wszystkich wersjach do 1.0.2 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w atrybutach dostarczanych przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka CYAN Backup dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji 'delete' we wszystkich wersjach do 2.5.4 włącznie. Uwierzytelniony atakujący z uprawnieniami Administratora lub wyższymi może usuwać dowolne pliki na serwerze, co łatwo prowadzi do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php).

Wtyczka Quick Featured Images dla WordPressa jest podatna na SQL Injection przez funkcję 'delete_orphaned' we wszystkich wersjach do 13.7.3 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyższym dodawanie dodatkowych zapytań SQL, pod warunkiem że przekonają użytkownika z uprawnieniami autora lub wyższymi do dodania złośliwej wartości pola niestandardowego.

Wtyczka Envira Photo Gallery dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API '/envira-convert/v1/bulk-convert' we wszystkich wersjach do 1.11.0 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym konwertowanie galerii na galerie Envira.

Wtyczka Academy LMS – WordPress LMS Plugin for Complete eLearning Solution do wersji 3.3.8 jest podatna na ujawnienie wrażliwych informacji przez funkcję 'enqueue_social_login_script'. Nieuwierzytelnieni atakujący mogą wyodrębnić dane, w tym sekret aplikacji Facebook, jeśli włączone jest logowanie przez Facebook.

Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu błędnie skonfigurowanej kontroli uprawnień w funkcji 'create_refund' we wszystkich wersjach do 1.0.42 włącznie. Uwierzytelnieni atakujący z poziomem dostępu Contributor i wyższym mogą aktualizować status żądań zwrotu, w tym zatwierdzać i odrzucać zwroty.

Wtyczka EventPrime – Events Calendar, Bookings and Tickets dla WordPress jest podatna na nieautoryzowane tworzenie notatek do rezerwacji z powodu braku sprawdzenia uprawnień w funkcji 'booking_add_notes' we wszystkich wersjach do 4.2.0.0 włącznie. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dodać notatkę do widoku backendu dowolnej rezerwacji.

Wtyczka Ovatheme Events Manager dla WordPressa jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w kilku funkcjach w pliku /class-ovaem-ajax.php we wszystkich wersjach do 1.8.6 włącznie. Umożliwia to nieuwierzytelnionym atakującym usuwanie plików biletów, pobieranie biletów i inne działania.

Wtyczka WPFunnels – The Easiest Funnel Builder For WordPress And WooCommerce To Collect Leads And Increase Sales jest podatna na nieautoryzowaną rejestrację użytkowników we wszystkich wersjach do 3.6.2 włącznie. Wynika to z polegania przez wtyczkę na kontrolowanej przez użytkownika wartości 'optin_allow_registration' do określenia, czy rejestracja jest dozwolona, zamiast ustawienia specyficznego dla witryny. Nieuwierzytelniony atakujący może zarejestrować nowe konta użytkowników, nawet gdy rejestracja jest wyłączona.

Wtyczka Mang Board WP dla WordPressa jest podatna na odbity atak XSS przez parametr 'mp' w wersjach do 2.3.1 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Download Manager dla WordPress jest podatna na nieautoryzowany dostęp z powodu zakodowanego na stałe klucza Cron używanego w funkcjach deleteExpired() i clearTempDataCPCron() we wszystkich wersjach do 3.3.30 włącznie. Nieuwierzytelniony atakujący może wywołać te zadania cron, prowadząc do usunięcia wygasłych postów i wyczyszczenia pamięci podręcznej.

Wtyczka Contact Form 7 AWeber Extension dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'wp_ajax_aweber_logreset' we wszystkich wersjach do 0.1.42 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym resetowanie logów AWeber.

Wtyczka HTML Forms – Simple WordPress Forms Plugin dla WordPressa jest podatna na przechowywany atak XSS przez ustawienia administratora we wszystkich wersjach do 1.5.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to tylko instalacji wielostanowiskowych oraz instalacji, gdzie unfiltered_html jest wyłączone.

Wtyczka Insert Headers and Footers Code – HT Script dla WordPress jest podatna na Stored Cross-Site Scripting poprzez dodawanie skryptów we wszystkich wersjach do 1.1.6 włącznie, z powodu niewystarczających sprawdzeń uprawnień. Umożliwia to uwierzytelnionym atakującym z uprawnieniami autora i wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WP2Social Auto Publish dla WordPressa jest podatna na odbity atak XSS przez PostMessage w wersjach do 2.4.7 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Course Booking System dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w pliku csv-export.php we wszystkich wersjach do 6.1.5 włącznie. Umożliwia to nieuwierzytelnionym atakującym bezpośredni dostęp do pliku i uzyskanie eksportu wszystkich danych rezerwacji.

Wtyczka WPFunnels dla WordPressa jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji wpfnl_delete_log() we wszystkich wersjach do 3.6.2 włącznie. Uwierzytelniony atakujący z uprawnieniami Administratora lub wyższymi może usuwać dowolne pliki na serwerze, co łatwo prowadzi do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php).

Wtyczka Tag, Category, and Taxonomy Manager – AI Autotagger with OpenAI dla WordPressa jest podatna na SQL Injection przez parametr 'post_types' we wszystkich wersjach do 3.40.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyższym dodawanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych informacji z bazy danych.

Wtyczka Groups dla WordPress jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 3.7.0 włącznie poprzez parametr 'group_id' funkcji group_join z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zarejestrować się do grup innych niż ustawione w shortcode.