Katalog podatności CVE

Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 zawiera podatność na przechowywany atak XSS przez parametr 'approval_code'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego skryptu, który wykona się przy dostępie do zainfekowanej strony. Dodatkowo, endpoint REST POST /wp-json/corvuspay/success/ jest dostępny bez uwierzytelnienia, a walidacja podpisu nie zatrzymuje wykonania, co pozwala na zapisanie złośliwego kodu w bazie danych.

Wtyczka WP CTA – Sticky CTA Builder dla WordPressa do wersji 2.2.2 włącznie zawiera podatność na ślepe SQL Injection oparte na czasie przez parametr 'fildname' w metodzie ajaxCheck(). Brak autoryzacji i rejestracja endpointu dla niezalogowanych użytkowników umożliwia atakującym wstrzykiwanie dowolnych zapytań SQL i wyodrębnianie wrażliwych danych, w tym hashów haseł administratora.

Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.

Wtyczka Code Engine dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.3.5 włącznie przez shortcode 'code-engine'. Podatność wynika z braku ograniczeń dostępu do funkcji wstrzykiwania kodu, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym na wykonanie kodu na serwerze.

Wtyczka SureCart dla WordPressa do wersji 4.2.3 włącznie zawiera podatność na eskalację uprawnień poprzez przejęcie konta. Problem wynika z braku prawidłowej weryfikacji tożsamości użytkownika przed aktualizacją danych, takich jak adres e-mail, podczas synchronizacji profilu klienta z zdarzeń webhook. Umożliwia to nieuwierzytelnionym atakującym zmianę adresu e-mail powiązanego użytkownika, w tym administratora, jeśli jego konto jest połączone z rekordem klienta SureCart, a następnie zresetowanie hasła i przejęcie konta, jeśli znany jest identyfikator klienta.

Wtyczka Form Vibes – Database Manager for Forms dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole formularza Contact Form 7 we wszystkich wersjach do 1.5.2 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Planyo Online Reservation System dla WordPressa w wersjach do 3.0 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) prowadzącą do lokalnego włączania plików (LFI). Plik ulap.php działa jako proxy AJAX i jest dostępny bez uwierzytelniania, a funkcja send_http_post() nie waliduje schematu URL, co pozwala atakującemu na użycie protokołu file:// do odczytu dowolnych plików na serwerze.

Wtyczka Swiss Toolkit For WP dla WordPressa do wersji 1.4.6 zawiera podatność na dowolne przesyłanie plików. Funkcja `upload_extension_files()` błędnie sprawdza typ pliku, używając `strpos()` do wyszukiwania rozszerzenia w nazwie pliku zamiast weryfikacji rzeczywistego rozszerzenia.

Wtyczka Booking Package dla WordPressa do wersji 1.7.20 zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'email' w formularzu (form<N>). Brak odpowiedniego escapowania i przygotowania zapytania SQL pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.

Wtyczka LA-Studio Element Kit dla Elementor do WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 1.6.1 włącznie, poprzez funkcję get_type_template. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka WP Grid Builder dla WordPressa do wersji 2.3.3 włącznie zawiera lukę umożliwiającą eskalację uprawnień. Brak autoryzacji i walidacji klucza meta w punkcie końcowym REST API `/wp-json/wpgb/v2/metadata` pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta lub wyższym na podniesienie swoich uprawnień do Administratora poprzez aktualizację własnego meta użytkownika `wp_capabilities` za pomocą spreparowanego zagnieżdżonego ładunku tablicy.

Spinnaker przed wersjami 2026.1.1, 2026.0.3, 2025.4.4 i 2025.3.4 zawiera podatność w operacjach Kustomize bake, która umożliwia niebezpieczne przetwarzanie znaczników YAML w manifestach rosco. Może to prowadzić do zdalnego wykonania kodu na podach rosco podczas wykonywania Kustomize bake.

Podatność pozwala na nawiązywanie wielu połączeń z backendem przy użyciu tego samego identyfikatora stacji ładowania. Umożliwia to atakującemu uruchomienie wielu instancji złośliwych klientów OCPP w celu przeciążenia backendu.

W backendzie stacji ładowania brakowało ograniczenia liczby powtarzanych prób uwierzytelnienia, co umożliwiało atakującemu przeprowadzenie ataku typu Denial of Service (DoS).

Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.

Podatność w Tilt od wersji 0.24.0 do 0.37.3 umożliwia atakującemu dostęp do strumienia widoku HUD przez WebSocket, pomimo zabezpieczenia CSRF. Token CSRF jest serwowany przez nieuwierzytelniony endpoint, a serwer akceptuje połączenia bez nagłówka Origin, co pozwala na przejęcie danych sesji, plików Tiltfile i statusów zasobów.

Tilt HUD serwer montuje nieautoryzowane handlery pprof pod ścieżką /debug, co pozwala nieuwierzytelnionemu atakującemu na odczyt pamięci procesu (w tym tokenów sesji i API) oraz degradację wydajności. Podatność dotyczy wersji od 0.19.5 do 0.37.3.