Katalog podatności CVE

Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.

Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.

Wtyczka WordPress WPC Smart Compare for WooCommerce w wersji przed 6.6.1 nie stosuje ochrony hasłem wpisów WordPress przy zwracaniu treści produktu przez handler porównania. Nieuwierzytelnieni użytkownicy mogą odczytać opis produktów chronionych hasłem.

Wtyczka WordPress Paid Membership Subscriptions w wersji przed 3.1.0 nie wiąże jednej ze swoich niezalogowanych akcji płatniczych z żądającym użytkownikiem. Umożliwia to osobie posiadającej identyfikator płatności innego członka w trakcie realizacji usunięcie stanu jego kasy.

Wtyczka WordPress FluentBoards w wersji przed 2.1.0 nieprawidłowo ogranicza dane członków zwracane przez funkcję publicznej tablicy udostępnianej tokenem. Nieuwierzytelnieni użytkownicy mogą ujawnić adresy e-mail członków udostępnionej tablicy, zazwyczaj w tym administratorów.

Wtyczka WordPress JSM Show Post Metadata w wersji przed 4.9.1 nie escapuje prawidłowo klucza metadanych wpisu przed wyświetleniem go w atrybucie obsługi zdarzenia w meta boxie panelu administracyjnego. Użytkownicy z poziomem współtwórcy i wyższym mogą wstrzyknąć dowolny JavaScript, który wykonuje się w sesji użytkownika o wyższych uprawnieniach przeglądającego dany wpis.

Wtyczka WordPress Product Badge, Label, Countdown Timer for WooCommerce w wersji przed 7.5.2 nie sprawdza, czy produkt jest opublikowany, przed zwróceniem jego szczegółów nieuwierzytelnionym użytkownikom. Mogą oni odczytać tytuł, opis i cenę produktów w wersji roboczej, oczekującej i prywatnej.

Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.

Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.

Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie wykonuje sprawdzenia nonce, uprawnień ani własności przed uruchomieniem jednorazowej migracji pól płatności podczas budowy jednego z ekranów administracyjnych. Ta konstrukcja ma miejsce przy każdym żądaniu wp-admin dla każdego zalogowanego użytkownika. Każdy uwierzytelniony użytkownik, w tym Subscriber bez uprawnień, może nadpisać zapisaną konfigurację pól dowolnego formularza, w tym aktywnego formularza płatności.

Wtyczka WordPress Real3D Flipbook w wersji przed 5.4 nie sprawdza uprawnień w kilku akcjach zarządzania flipbookami dostępnych dla zalogowanych użytkowników. Umożliwia to użytkownikom z rolą Author i wyższą usuwanie flipbooków innych użytkowników oraz nadpisywanie globalnych ustawień zarezerwowanych dla administratora, co można wykorzystać do zapisania złośliwego kodu JavaScript.

Wtyczka WordPress Social Commerce for WooCommerce w wersji do 2.5.4 nie posiada kontroli autoryzacji na niektórych endpointach REST API. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację konfiguracji wtyczki oraz stanu synchronizacji produktów.

Wtyczka WordPress Post Grid Gutenberg Blocks w wersji przed 5.0.41 nie sprawdza autoryzacji ani widoczności wpisu w trasie REST API zwracającej klucze pól niestandardowych danego wpisu. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie nazw kluczy pól niestandardowych dowolnych wpisów, w tym prywatnych, szkiców, oczekujących, zaplanowanych i chronionych hasłem.

Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza uprawnień w jednej ze swoich tras REST i nie ogranicza ilości danych, które ta trasa zapisuje. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie nieograniczonej ilości danych do metadanych dowolnego użytkownika oraz trwałe uniemożliwienie załadowania konta, w tym konta administratora.

Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza autoryzacji w jednej ze swoich akcji AJAX. Umożliwia to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, pobranie identyfikatorów i tytułów niepublikowanych list innych użytkowników.

Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, odczytanie pełnej treści niepublikowanych przepisów.

Wtyczka WordPress HappyAddons for Elementor w wersji przed 3.50.0 nie escapuje wartości ikony w jednym z widżetów przycisku przed umieszczeniem jej w atrybucie HTML. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie atrybutów obsługi zdarzeń wykonujących JavaScript w przeglądarce każdego, kto wyświetli stronę, w tym uprzywilejowanych użytkowników przeglądających treść.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie wykonuje kontroli uprawnień per obiekt na jednej rodzinie swoich tras REST do zapisu. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak contributor, modyfikowanie, publikowanie, przenoszenie do kosza i przejmowanie rekordów należących do innych użytkowników, w tym administratorów.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie sprawdza uprawnień wymaganych do publikowania treści przed utworzeniem lub aktualizacją przez REST API. Umożliwia to użytkownikom z rolą, która normalnie nie może publikować, takim jak contributor, publikowanie treści bezpośrednio i ominięcie przeglądu redakcyjnego.