Katalog podatności CVE

Wtyczka Wow Elements Addons for Elementor w wersjach do 1.11.2 włącznie jest podatna na fałszowanie żądań po stronie serwera (SSRF) z powodu przekazywania danych kontrolowanych przez użytkownika z ustawienia 'Changelog File' bezpośrednio do funkcji wp_remote_get bez odpowiedniej walidacji lub sanityzacji adresu URL. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wykonywać żądania sieciowe do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.

Wtyczka BlockSpare dla WordPressa w wersjach do 4.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej logiki w funkcji zwrotnej uprawnień, gdzie użyto operatora AND (&&) zamiast OR (||). Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może obejść kontrole autoryzacji i tworzyć dowolne wpisy.

Wtyczka Metasync dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_instant_indexing_settings(). Funkcja jest podpięta do akcji admin_init i sprawdza jedynie obecność $_POST['submit'], po czym zapisuje dane z $_POST['metasync_post_types'] do opcji 'metasync_options_instant_indexing' bez weryfikacji nonce i bez sprawdzenia uprawnień użytkownika.

Wtyczka Search Atlas SEO dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą nadpisanie hasła ustawień whitelabel na wartość kontrolowaną przez atakującego.

Wtyczka Quill Forms dla WordPressa w wersjach do 5.7.1 włącznie jest podatna na trwałe skryptowanie krzyżowe (Stored XSS) poprzez wartość 'Other' w pytaniu wielokrotnego wyboru. Niewystarczająca sanityzacja danych wejściowych i ucieczka danych wyjściowych pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów, które wykonają się w widoku wyników w panelu administratora.

Wtyczka SSL Zen dla WordPressa w wersjach do 4.7.42 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'host' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność jest wykorzystywana tylko w etapie system_requirements.

Wtyczka Real3D Flipbook Lite dla WordPressa w wersjach do 5.1.1 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez atrybut shortcode 'lightboxtext' oraz inne nieoczyszczone atrybuty obsługiwane przez on_shortcode(). Wartości atrybutów są kopiowane bez zmian do opcji flipbooka i emitowane przez wp_json_encode() w bloku <script type="application/json"> bez flagi JSON_HEX_TAG, co pozwala na wyjście z kontekstu skryptu JSON.

Wtyczka AppMySite dla WordPressa w wersjach do 3.15.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez handler AJAX save_ams_license_key z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Handler nie wykonuje sprawdzenia uprawnień ani weryfikacji nonce.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Podatna gałąź SQL jest uruchamiana tylko, gdy w żądaniu obecny jest co najmniej jeden z parametrów: linked_posts, created_after, created_before, missing_fields, post_id, wartość typu oddzielona przecinkami lub exclude_type.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order_by' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Domyślny callback uprawnień endpointu REST to publish_posts, co oznacza, że każdy użytkownik z rolą Author lub wyższą może osiągnąć podatny kod bez dodatkowych warunków.

Wtyczka OTP Login & Register Woocommerce dla WordPressa w wersjach do 2.7.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez ustawienie 'fb-config' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, podatność może być wykorzystana do ataku na superadministratora sieci.

Wtyczka PDF Builder for WooCommerce dla WordPressa w wersjach do 2.0.11 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą pobranie numerów faktur, sformatowanych numerów faktur i znaczników czasu utworzenia dla dowolnych zamówień WooCommerce poprzez podanie dowolnych wartości OrderNumber i InvoiceId z nieprawidłowym nonce.

Wtyczka WP Customer Reviews dla WordPressa w wersjach do 3.7.8 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'wpcr3_fname' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Mailchimp for WooCommerce dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy żądający użytkownik ma wymagane uprawnienia w callbacku uprawnień dla kilku tras REST API. Pozwala to nieuwierzytelnionym użytkownikom na dostęp do endpointów przeznaczonych dla administratorów i wywołanie trwałej zmiany stanu.

Wtyczka Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit dla WordPressa przed wersją 5.4.7 nie weryfikuje autentyczności webhooka płatności PIX przed aktualizacją statusu zamówienia. Pozwala to nieuwierzytelnionym atakującym oznaczyć oczekujące zamówienie jako opłacone bez dokonania płatności.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.2 nie weryfikuje, czy rezerwacja należy do żądającego użytkownika przed jej modyfikacją lub usunięciem na dwóch endpointach rezerwacji. Pozwala to użytkownikowi na poziomie dostawcy na anulowanie i trwałe usunięcie rezerwacji innych dostawców na tej samej stronie.

Wtyczka MgoSync dla WordPressa przed wersją 2.1.7 nie ma kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobranie przechowywanych poświadczeń API WooCommerce, w tym klucza konsumenta i sekretu z uprawnieniami odczytu/zapisu, z skonfigurowanej strony.

Wtyczka Secure Custom Fields dla WordPressa przed wersją 6.9.4 nie weryfikuje poprawnie, czy przesłanie formularza front-end odpowiada formularzowi wyświetlonemu odwiedzającemu. Pozwala to nieuwierzytelnionym użytkownikom na przesłanie danych do innego zarejestrowanego formularza i modyfikację tytułu oraz treści posta, do którego formularz jest przypisany.