Katalog podatności CVE

Motyw KALLYAS dla WordPressa jest podatny na brak autoryzacji w wersjach do 4.22.0 włącznie. Podatność ta może umożliwiać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka TheGem (Elementor) dla WordPressa jest podatna na atak XSS w wersjach do 5.10.5 włącznie. Problem wynika z niedostatecznego neutralizowania danych wejściowych podczas generowania stron internetowych.

Wtyczka TheGem dla WordPressa jest podatna na atak XSS w wersjach do 5.10.5 włącznie. Problem wynika z niedostatecznego neutralizowania danych wejściowych podczas generowania stron internetowych.

Brak autoryzacji w Bux Woocommerce (wtyczka bux-woocommerce) pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Problem dotyczy wersji od n/a do 1.2.3 włącznie.

Podatność nieograniczonego przesyłania plików o niebezpiecznym typie w wtyczce Atarim visual collaboration do wersji 4.2.1 włącznie. Umożliwia wykorzystanie złośliwych plików.

Brak autoryzacji w VikBooking Hotel Booking Engine & PMS do wersji 1.8.2 włącznie. Podatność może pozwolić na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji w Jock On Air Now (JOAN) do wersji 6.0.4 włącznie. Podatność pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Brak autoryzacji w imEvent do wersji 3.4.0 włącznie. Podatność pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

Wtyczka Backup and Move (autorstwa Gaurav Aggarwal) do wersji 0.1 włącznie ma podatność na brak autoryzacji (Missing Authorization). Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Advanced Google Maps (wp-google-map-gold) firmy flippercode zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 5.8.4 włącznie.

Wtyczka Smush Image Compression and Optimization (WPMU DEV) dla WordPressa jest podatna na path traversal typu '.../...//' w wersjach do 3.17.0 włącznie. Podatność może umożliwić dostęp do plików poza zamierzonym katalogiem.

Podatność CVE-2025-10955 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w oprogramowaniu Netigma firmy Netcad Software Inc. Umożliwia to ataki typu XSS (Cross-site Scripting) poprzez ciągi zapytań HTTP.

Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.

Wtyczka Better Find and Replace dla WordPressa do wersji 1.7.7 włącznie ma brak sprawdzenia uprawnień w funkcji rtafar_ajax(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subscriber na użycie klucza API OpenAI, powodując zużycie limitu i potencjalne koszty.

Wtyczka Hubbub Lite dla WordPressa (wersje do 1.36.0 włącznie) jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'dpsp_list_attention_search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Blog2Social dla WordPressa jest podatna na atak SSRF w wersjach do 8.6.0 włącznie przez funkcję getFullContent(). Uwierzytelnieni atakujący z dostępem na poziomie Subscriber mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji, co może być wykorzystane do odczytu i modyfikacji informacji z usług wewnętrznych.

Wtyczka Blog2Social dla WordPressa jest podatna na ograniczone przesyłanie plików z powodu nieprawidłowej weryfikacji uprawnień w funkcji uploadVideo() w wersjach do 8.6.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą przesyłać pliki mp4 do katalogu 'wp-content/uploads/<YYYY>/<MM>/'.

Wtyczka Easy Digital Downloads dla WordPressa w wersjach do 3.5.2 włącznie jest podatna na manipulację zamówieniami z powodu obejścia weryfikacji zamówienia. Gdy w treści żądania POST zostanie przesłany parametr verification_override=1, weryfikacja jest bezwarunkowo pomijana, co pozwala nieuwierzytelnionemu atakującemu przesłać sfałszowane powiadomienie IPN i uznać je za zweryfikowane. Wymagany jest prawidłowy identyfikator transakcji PayPal, co ogranicza manipulację do zamówień złożonych przez atakującego posiadającego konto klienta.

Wtyczka WordPress Easy Email Subscription we wszystkich wersjach do 1.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji show_editsub_page(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych subskrybentów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Easy Email Subscription dla WordPressa (wszystkie wersje do 1.3 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'uid' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.