Katalog podatności CVE

Wtyczka KiviCare dla WordPressa przed wersją 4.5.4 nie weryfikuje, czy żądający użytkownik jest właścicielem modyfikowanej wizyty, co pozwala uwierzytelnionym użytkownikom na poziomie pacjenta anulować i przeplanowywać wizyty innych pacjentów.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne rekordy rezerwacji wraz z powiązanymi pozycjami i płatnościami.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom pobierać dane osobowe klientów, którzy dokonali rezerwacji, w tym imię, adres e-mail, numer telefonu i adres pocztowy.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom zmieniać status dowolnych rezerwacji oraz wyzwalać wiadomości e-mail z powiadomieniami do dotkniętych klientów.

Wtyczka WP Maps dla WordPressa przed wersją 4.9.8 nie wykonuje sprawdzenia uprawnień ani nie weryfikuje nonce w jednej z akcji AJAX, co pozwala użytkownikom z kontem Subscriber na tworzenie nieograniczonej liczby opcji w bazie danych, z których każda jest ładowana przy każdym żądaniu strony.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.7 nie wykonuje żadnej kontroli autoryzacji w jednej z publicznych akcji AJAX i zwraca nieprzefiltrowane wiersze bazy danych, co pozwala nieuwierzytelnionym atakującym na pobranie nazw użytkowników i adresów e-mail użytkowników posiadających role własne wtyczki WP Directory Kit przed wersją 1.5.7.

Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.

Wtyczka SmartCrawl SEO checker, analyzer & optimizer dla WordPressa przed wersją 3.16.3 nie sprawdza uprawnień w dwóch akcjach AJAX, co pozwala użytkownikom z rolą Subscriber na odczyt tytułów prywatnych i szkicowych wpisów po ID oraz na enumerację nazw kluczy meta wpisów.

Wtyczka YayCurrency dla WordPressa przed wersją 3.3.5 nie przeprowadza żadnych kontroli uprawnień ani własności w kilku swoich modułach obsługi integracji multi-sprzedawców, które są dostępne dla nieuwierzytelnionych użytkowników, co pozwala każdemu na odczyt sum zamówień sklepu oraz zarobków sprzedawców, ksiąg bilansowych i historii wypłat poprzez iterowanie identyfikatorów.

Wtyczka Easy Media Replace dla WordPressa do wersji 0.2.0 nie sanityzuje i nie escapuje tytułu załącznika przed wyświetleniem go w atrybucie HTML w widoku listy biblioteki multimediów, co pozwala użytkownikom z rolą Author i wyżej na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się w przeglądarce użytkownika z wyższymi uprawnieniami przeglądającego bibliotekę multimediów.

Wtyczka 10Web Booster do WordPressa przed wersją 2.33.5 nie weryfikuje poprawnie tokenu dostępu w nieuwierzytelnionym żądaniu oraz nie escapuje treści stylów dostarczanych przez atakującego przed wstawieniem ich do nagłówka strony, co pozwala nieuwierzytelnionemu atakującemu na przechowywanie znaczników wykonujących JavaScript w przeglądarce anonimowych odwiedzających.

Wtyczka WCFM Marketplace do WordPressa przed wersją 3.8.1 nie weryfikuje, czy sprzedawca jest właścicielem opinii przed umożliwieniem jej odrzucenia lub usunięcia, co pozwala każdemu sprzedawcy na modyfikację lub trwałe usunięcie opinii należących do sklepów innych sprzedawców.

Wtyczka Eventin do WordPressa przed wersją 4.1.21 nie weryfikuje własności przed umożliwieniem modyfikacji lub usunięcia wpisów harmonogramu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmianę lub usunięcie wpisów utworzonych przez innych użytkowników.

W produkcie acmailer wykryto podatność typu cross-site scripting (XSS), która może pozwolić atakującemu na wykonanie dowolnego skryptu w przeglądarce ofiary.

Wtyczka Speed Optimizer dla WordPressa do wersji 7.8.0 jest podatna na Stored Cross-Site Scripting (XSS) przez atrybuty tagów obrazów. Podatność wynika z niedostatecznej sanitizacji wejścia i braku kodowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony. Warunkiem jest włączenie opcji Lazy Load Media w ustawieniach wtyczki.

W produkcie xianrendzw EasyReport do wersji 2.0.17.0522_Beta wykryto podatność w funkcjach execSqlText/previewSqlText w pliku DesignerController.java (komponent SQL Preview Endpoint). Manipulacja argumentem sqlText prowadzi do nieprawidłowej neutralizacji specjalnych elementów używanych w silniku szablonów, co może umożliwić atak zdalny. Exploit został publicznie ujawniony, a projekt nie odpowiedział na zgłoszenie.

W produkcie xianrendzw EasyReport do wersji 2.0.17.0522_Beta wykryto podatność w funkcji DataSourceController.add w pliku DataSourceController.java (komponent QueryerFactory). Manipulacja argumentem queryerClass prowadzi do problemów z uprawnieniami, co może umożliwić atak zdalny. Exploit został publicznie ujawniony, a projekt nie odpowiedział na zgłoszenie.

Wtyczka PPWP: Password Protect Pages, Posts & Full or Partial Content dla WordPressa do wersji 1.9.15 jest podatna na nieautoryzowany dostęp do danych z powodu nieprawidłowej kontroli uprawnień w funkcji can_access. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą uzyskać hasło główne i dostęp do chronionych treści.

Podatność typu Stored XSS (Cross-site Scripting) w wtyczce Media Library Assistant autorstwa Davida Lingrena. Problem dotyczy wersji od n/a do 3.39.

Brak autoryzacji w wtyczce B2BKing autorstwa Kings Plugins. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 5.2.30.