Katalog podatności CVE

Wtyczka Mapster WP Maps dla WordPressa jest podatna na zapis dowolnych metadanych użytkownika we wszystkich wersjach do 1.23.0 włącznie poprzez funkcję my_profile_update(). Brak weryfikacji nonce, sprawdzenia uprawnień i walidacji klucza meta pozwala uwierzytelnionemu atakującemu z poziomem Subscriber modyfikować dowolne metadane użytkowników.

Wtyczka WP Easy Pay – Payment and Donation form Builder for Square dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.5.0 włącznie. Powodem jest brak prawidłowej weryfikacji uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą trwale usuwać dowolne wpisy, strony i niestandardowe typy treści (z pominięciem kosza) lub zmieniać status opublikowanych wpisów na szkic.

Aplikacja TECHIN2B zawiera podatność typu Authorization Bypass Through User-Controlled Key, która pozwala na nadużycie uprawnień. Problem dotyczy wersji od V1.0.7676.13 do 18092026.

Strona internetowa Stowarzyszenia Adwokatów (Bar Association Website) firmy KA Informatics Technologies Ltd. Co. jest podatna na odbity XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji do 18092026. Producent nie odpowiedział na kontakt w sprawie ujawnienia.

Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.

Wtyczka Booking Calendar dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 11.8.2 włącznie poprzez akcję AJAX wpbc_ajax_option_save. Uwierzytelniony atakujący z poziomem Editor może zapisywać opcje WordPressa, takie jak default_role=administrator, i utworzyć konto administratora.

Wtyczka Booking Calendar dla WordPressa jest podatna na odbity XSS przez parametr 'options' we wszystkich wersjach do 11.8.2 włącznie z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Sprawdzenie nonce jest domyślnie pomijane, ponieważ opcja 'booking_is_nonce_at_front_end' jest domyślnie wyłączona.

Motyw Divi dla WordPressa w wersjach do 5.11.1 włącznie jest podatny na wykonanie dowolnych shortcode'ów, ponieważ nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, a przy włączonej opcji 'Force Enable D4 Shortcode Framework' także wywołać et_pb_contact_form w celu wysłania wiadomości e-mail do wybranego odbiorcy z treścią kontrolowaną przez atakującego.

Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie weryfikuje CAPTCHA rejestracji, gdy zapisana wartość sesji jest pusta. Umożliwia to nieuwierzytelnionym użytkownikom obejście zabezpieczenia antyspamowego i utworzenie konta bez rozwiązywania CAPTCHA.

Wtyczka Clean Login dla WordPressa w wersjach przed 1.19 nie sprawdza, czy rejestracja użytkowników jest włączona, przed utworzeniem konta w swoim mechanizmie rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom zakładanie kont nawet wtedy, gdy rejestracja w witrynie jest wyłączona.

Wtyczka Filter Gallery dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.1.4 włącznie. Uwierzytelniony atakujący z poziomem Subscriber może usuwać dowolne rekordy Filter Gallery, podając kontrolowane przez siebie identyfikatory galerii.

Wtyczka EmbedPress dla WordPressa w wersjach do 4.6.5 włącznie jest podatna na odbity Cross-Site Scripting poprzez parametr 'unique' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik kliknie specjalnie spreparowany link. Podatność jest regresją — zabezpieczenie esc_url() usunięto w wersji 4.3.0 podczas refaktoryzacji.

Wtyczka GPTranslate dla WordPressa w wersjach do 2.34.6 włącznie jest podatna na ujawnienie poufnych informacji poprzez funkcję enqueue_frontend_scripts. Nieuwierzytelniony atakujący może odzyskać klucz API dostawcy AI (OpenAI, DeepL, xAI/Grok, Gemini, Claude lub Google Cloud Translation) w postaci jawnej, pobierając dowolną publiczną stronę i stosując odwrotną transformację z publicznego pliku JavaScript wtyczki. Problem dotyczy konfiguracji domyślnej i wszystkich dostawców poza DeepSeek.

Wtyczka Filter Gallery dla WordPressa w wersjach do 1.1.4 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może nadpisać tytuł i treść dowolnych wpisów, zapisać meta klucz _wp_attachment_image_alt oraz tworzyć lub nadpisywać opcje ufg_gallery_*.

Wtyczka All Bootstrap Blocks dla WordPressa w wersjach do 1.3.31 włącznie nie waliduje atrybutu bloku przed użyciem go do budowy ścieżki systemu plików, która jest dołączana w czasie renderowania. Umożliwia to użytkownikom z poziomem współtwórcy lub wyższym dołączenie dowolnych lokalnych plików, ujawnienie ich zawartości oraz wykonanie kodu PHP, jeśli dostępny jest lokalny plik zawierający kod PHP. Wykorzystanie wymaga włączonego podsystemu Lightspeed, który nie jest domyślny.

Wtyczka Hide My WP Ghost dla WordPressa w wersjach przed 7.0.11 nie weryfikuje prawidłowo żądania sprawdzającego pętlę zwrotną przed wyłączeniem ochrony logowania i ukrywania adresów URL. Ochrona jest wyłączana, gdy wartość weryfikacyjna żądania jest brakująca lub nieprawidłowa, co może wywołać każdy odwiedzający, umożliwiając nieuwierzytelnionym atakującym ponowne ujawnienie ukrytej lokalizacji strony logowania WordPressa.

Wtyczka Hide My WP Ghost dla WordPressa w wersjach przed 7.0.11 nie weryfikuje, czy żądanie jest autentycznym żądaniem WooCommerce, przed wyłączeniem zapory, wykrywania zagrożeń oraz ochrony logowania i ukrywania adresów URL. Samo wystąpienie parametru żądania dostarczonego przez atakującego jest traktowane jako wystarczające, co pozwala nieuwierzytelnionym atakującym wyłączyć te zabezpieczenia i ponownie ujawnić ukryte adresy logowania i panelu administracyjnego.

Wtyczka Custom Twitter Feeds dla WordPressa w wersjach do 2.8.0 włącznie jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'buttoncolor' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana w typowych instalacjach, w których administrator skonfigurował tokeny dostępu z zerem lub wieloma starszymi kanałami.

Wtyczka Breeze Cache dla WordPressa w wersjach przed 2.5.15 nie uwzględnia w kluczu pamięci podręcznej zestawu parametrów zapytania związanych ze śledzeniem, mimo że nadal buforuje strony żądane z tymi parametrami. Umożliwia to nieuwierzytelnionemu atakującemu zapisanie strony wyrenderowanej w jego kontekście żądania pod kluczem czystego adresu URL, a następnie serwowanie jej wszystkim kolejnym odwiedzającym.

Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może zdegradować opublikowane szablony builderów należące do administratora do statusu szkicu i zastąpić je własną treścią bloków renderowaną w całym serwisie.