Katalog podatności CVE

Wtyczka WPGraphQL Smart Cache dla WordPressa przed wersją 2.3.2 nie wymaga autoryzacji ani nie weryfikuje identyfikatora zapytania dostarczonego przez wywołującego przed zapisaniem trwałego zapytania z żądania. Pozwala to nieuwierzytelnionym użytkownikom na publikowanie dowolnych dokumentów zapytań i zajmowanie aliasów zapytań przed ich zarejestrowaniem przez frontend strony.

Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.

Wtyczka VikRentItems Flexible Rental Management System dla WordPressa przed wersją 1.2.4 nie dezynfekuje i nie escapuje niektórych parametrów przed użyciem ich w zapytaniach SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Wtyczka Master Blocks dla WordPressa przed wersją 1.5.0 nie posiada autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację jej ustawień, w tym wartości, która jest wypisywana bez escapowania w panelu administracyjnym, prowadząc do Stored XSS wykonującego się w sesji każdego administratora odwiedzającego stronę wp-admin.

Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.

Wtyczka Botiga Pro dla WordPressa przed wersją 1.6.5 nie przeprowadza żadnych kontroli autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację dowolnych opcji WordPressa z dowolnymi wartościami, co może prowadzić do eskalacji uprawnień i całkowitego przejęcia witryny. Ta sama trasa pozwala również nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów, które są wykonywane na każdej stronie front-endu, oraz na przenoszenie dowolnych wpisów do kosza.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.13.1 nie escapuje wartości pochodzącej z nazw profili dostarczanych przez użytkownika przed wypisaniem jej w tytule strony i dekoduje encje HTML po tym, jak jej własna sanityzacja już została wykonana, co pozwala nieuwierzytelnionym atakującym, którzy zarejestrują konto, na przechowywanie JavaScriptu, który wykona się, gdy jakikolwiek odwiedzający, w tym administrator, zobaczy ich profil.

Wtyczka Unbounce Landing Pages dla WordPressa przed wersją 1.1.5 nie przeprowadza żadnej kontroli autoryzacji podczas aktualizacji konfiguracji, na której opiera się jej proxy front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na skierowanie tego proxy na kontrolowany przez siebie host i serwowanie dowolnych treści z własnego origin witryny.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.

Wtyczka Estatik Real Estate Plugin dla WordPressa przed wersją 4.3.5 nie dezynfekuje i nie escapuje kilku wartości zdekodowanych z parametru żądania przed odzwierciedleniem ich w nieuwierzytelnionej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting.

Wtyczka WP Import Export Lite dla WordPressa przed wersją 3.9.35 nie weryfikuje, czy użytkownik uruchamiający import ma uprawnienia do tworzenia lub modyfikowania kont użytkowników i przypisywania ról, co pozwala użytkownikom z delegowanym uprawnieniem WP Import Export Lite przed wersją 3.9.35, którzy nie mogą zarządzać użytkownikami, na tworzenie kont administratorów oraz nadpisywanie danych logowania i ról istniejących kont, w tym administratorów.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.3 nie wystarczająco ogranicza, które funkcje PHP mogą być używane jako niestandardowy callback walidacji pola, opierając się na liście blokującej, która pomija funkcję usuwania plików, co pozwala użytkownikom mogącym zarządzać formularzami na usuwanie dowolnych plików na serwerze. Samo usunięcie jest wykonywane podczas przesyłania formularza, co nie wymaga uwierzytelnienia.

Wtyczka WordPress Nimble Page Builder w wersjach do 3.3.8 włącznie nie sprawdza uprawnień podczas zwracania zawartości page-buildera przez uwierzytelnioną akcję AJAX. Pozwala to każdemu zalogowanemu użytkownikowi (rola Subscriber i wyżej) na ujawnienie zawartości page-buildera dowolnych niepublicznych wpisów i stron (szkice, oczekujące, prywatne, zaplanowane).

Wtyczka WordPress Business Name Generator w wersjach do 1.3 włącznie nie sanityzuje i nie escapuje niektórych swoich ustawień. Może to pozwolić użytkownikom o wysokich uprawnieniach, takim jak administrator, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy możliwość unfiltered_html jest wyłączona (np. w konfiguracji multisite).

W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.

Wtyczka Pochipp dla WordPressa (wersje do 1.20.2 włącznie) pozwala na odbity cross-site scripting przez parametr 'keyword'. Brak escapowania danych wyjściowych powoduje, że wartość z $_GET['keyword'] jest wstawiana do atrybutu value bez esc_attr(). Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik z uprawnieniem upload_files kliknie spreparowany link.

Wtyczka Save as PDF Plugin by PDFCrowd dla WordPressa (wersje do 4.6.1 włącznie) pozwala na wywołanie dowolnych funkcji PHP przez atrybut shortcode pdf_created_callback. Funkcja eval_shortcode() kopiuje atrybuty bez sanityzacji, a następnie są one szyfrowane i przekazywane do nieuwierzytelnionego endpointu, gdzie są odszyfrowywane i wywoływane bez sprawdzenia is_callable(). Uwierzytelniony atakujący z poziomem Contributor może wywołać dowolne funkcje PHP.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.

Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) pozwala na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z niestandardowym poziomem dostępu może uzyskać dostęp do pełnej historii wiadomości, metadanych wątku i danych użytkowników dowolnego czatu bez autoryzacji. Podatność występuje tylko, gdy ustawienie only_joined_can_read ma domyślną wartość '0'.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) poprzez parametr 'student_id'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na ujawnienie adresu e-mail oraz numeru telefonu z profilu Tutor dowolnych użytkowników WordPressa, w tym administratorów, poprzez iterowanie po identyfikatorach użytkowników.