Katalog podatności CVE

Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut clientId bloku News Ticker. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w metodzie NewsTicker::render(), która łączy atrybut clientId z atrybutem klasy HTML bez użycia esc_attr().

Wtyczka Foxtool All-in-One dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może modyfikować dowolne podklucze opcji foxtool_settings, w tym włączyć przesyłanie plików SVG w całym serwisie, co może ułatwić trwałe skrypty krzyżowe (Stored XSS) poprzez złośliwe pliki SVG.

Wtyczka InfiniteWP Client dla WordPressa w wersjach do 1.13.9 włącznie jest podatna na wstrzyknięcie SQL poprzez akcję get_comments. Wynika to z niewystarczającego escapowania nazw kluczy tablicy dostarczonych w ciele żądania JSON przed użyciem w zapytaniu SQL, co umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora dołączenie dodatkowych zapytań SQL i wyodrębnienie poufnych informacji z bazy danych.

Wtyczka Auto Upload Images dla WordPressa w wersjach do 3.3.2 włącznie jest podatna na ograniczone fałszowanie żądań po stronie serwera (SSRF) poprzez funkcję downloadImage. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wysyłać żądania sieciowe do dowolnych lokalizacji, w tym do adresów prywatnych, loopback i link-local, poprzez osadzenie złośliwego znacznika <img> w treści posta.

Zgłoszono podatność polegającą na nieprawidłowym uwierzytelnianiu, która wpływa na produkt. Zdalni atakujący mogą wykorzystać tę podatność do naruszenia bezpieczeństwa systemu. QTS nie jest podatny.

Zgłoszono podatność typu cross-site scripting (XSS), która wpływa na QcalAgent. Lokalni atakujący mogą wykorzystać tę podatność do obejścia mechanizmów bezpieczeństwa lub odczytania danych aplikacji.

Wtyczka WordPress zawiera podatność typu DOM-Based Cross-Site Scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 7.1.

Wtyczka WordPress Generate PDF using Contact Form 7 przed wersją 4.2.2 nie ogranicza miejsca docelowego pobierania obrazów przez renderer PDF na podstawie treści formularza. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie żądań do zasobów wewnętrznych i odczytanie odpowiedzi przez wygenerowany PDF.

Wtyczka WordPress Filter Gallery przed wersją 1.1.5 nie weryfikuje nonce w kilku handlerach AJAX, gdy pole nonce jest pominięte, i nie stosuje kontroli uprawnień. Umożliwia to użytkownikom o niskich uprawnieniach nadpisywanie treści dowolnych wpisów i usuwanie zapisanych opcji galerii.

Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli autoryzacji w jednej z akcji pobierania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Bookit odczyt danych wizyt innych użytkowników, w tym imion, adresów e-mail, numerów telefonów i prywatnych komentarzy.

Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli uprawnień w jednej z funkcji usuwania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Staff usuwanie dowolnych wizyt.

Wtyczka WordPress All Bootstrap Blocks do wersji 1.3.31 nieprawidłowo escapuje atrybut bloku przed wyświetleniem go w pozycji nazwy tagu HTML. Umożliwia to użytkownikom z poziomem Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych, które wykonują się przy przeglądaniu zmienionej treści.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy żądający użytkownik jest właścicielem kursu, przed zwróceniem danych zapisanych studentów. Umożliwia to użytkownikom z rolą Instructor ujawnienie imion i adresów e-mail studentów zapisanych na kursy innych instruktorów.

Wtyczka WordPress iGMS Direct Booking przed wersją 2.0 nie autoryzuje ani nie escapuje ustawień wyglądu widżetu. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie dowolnych skryptów internetowych, które wykonują się w kontekście administratora przeglądającego ustawienia oraz w przeglądarce każdego odwiedzającego stronę z widżetem rezerwacji.

Wtyczka Really Simple Security dla WordPressa przed wersją 9.8.3 nie weryfikuje wartości adresu dostarczonej przez klienta przed użyciem jej jako klucza przechowywania w jednej z własnych opcji, co pozwala nieuwierzytelnionym atakującym na nieograniczone zwiększanie tej opcji i spowalnianie obsługi nieistniejących stron.

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.2.2 nie przeprowadza kontroli własności ani autoryzacji na swoim nieuwierzytelnionym punkcie końcowym rezerwacji wizyt przed zaktualizowaniem istniejącej wizyty identyfikowanej przez identyfikator dostarczony w żądaniu, co pozwala nieuwierzytelnionym atakującym na nadpisywanie, a poprzez późniejsze czyszczenie, usuwanie dowolnych wizyt.

Wtyczka Easy Appointments dla WordPressa przed wersją 4.0.2.2 nie używa nieodgadywalnego tokena do autoryzacji akcji anulowania i potwierdzania wizyt przez link mailowy, wyprowadzając token z zaszytego w kodzie źródłowym saltu i znacznika czasu utworzenia wizyty, więc nieuwierzytelnieni atakujący, którzy znają lub odgadną ten znacznik czasu, mogą anulować lub potwierdzać dowolne wizyty.

Wtyczka Tz Weekly Radio Schedule dla WordPressa do wersji 1.8.1 nie sanityzuje i nie escapuje parametru przed użyciem go do budowy zapytania SQL w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection i wyodrębnianie wrażliwych danych z bazy danych.

Wtyczka Tz Weekly Radio Schedule dla WordPressa do wersji 1.8.1 nie sanityzuje i nie escapuje parametru przed użyciem go do budowy zapytania SQL w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection i wyodrębnianie wrażliwych danych z bazy danych.

Wtyczka Product Question and Answer dla WordPressa do wersji 1.1.0 nie sanityzuje i nie escapuje parametrów przed użyciem ich w zapytaniach SQL w akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection i wyodrębnianie wrażliwych danych z bazy danych.