Katalog podatności CVE

Wtyczka Price Drop Alert for Woo Commerce dla WordPressa do wersji 1.1 nie sanityzuje i nie escapuje parametrów przed użyciem ich w zapytaniu SQL w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection i wyodrębnianie wrażliwych danych z bazy danych.

Wtyczka wp shortcut link and advertisement baner dla WordPressa do wersji 1.2.0 nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection i wyodrębnianie wrażliwych danych z bazy danych.

Wtyczka UpsellWP dla WordPressa przed wersją 2.2.10 nie sprawdza, czy produkty dodane do koszyka przez kampanię Frequently Bought Together należą do tej kampanii, co pozwala nieuwierzytelnionym użytkownikom na zakup dowolnych produktów po obniżonej cenie kampanii.

Wtyczka VikBooking Hotel Booking Engine & PMS dla WordPressa przed wersją 1.8.15 nie ogranicza typów plików, które nieuwierzytelnieni odwiedzający mogą dołączać do czatu na żywo, ani nie sanityzuje ich zawartości, co pozwala im na przechowywanie aktywnej treści, która jest wykonywana w kontekście administratora przeglądającego rozmowę.

Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress na stronie, której właściciel wyłączył rejestrację.

Wtyczka Easy Form Builder by WhiteStudio dla WordPressa przed wersją 4.2.0 nie weryfikuje przesłanej wartości względem zapisanej konfiguracji dla niektórych typów formularzy, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnej treści, która jest następnie renderowana bez escapowania na stronie administracyjnej, prowadząc do Stored XSS.

Wtyczka RestroPress dla WordPressa do wersji 3.4.6 nie weryfikuje własności zamówienia w procesie odzyskiwania płatności przed działaniem na podstawie identyfikatora zamówienia z żądania, co pozwala nieuwierzytelnionym atakującym na enumerację zamówień w stanie odzyskiwalnym oraz na dodawanie notatek do zamówień innych klientów.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji per obiekt dla grupy akcji optymalizacji obrazów, opierając się tylko na ogólnej zdolności, którą mają również użytkownicy o niższych uprawnieniach, i nie potwierdza własności docelowego obiektu, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie autora i wyżej na ujawnianie bezwzględnych ścieżek plików, nadpisywanie bajtów oraz ponowne odwoływanie się w całej witrynie do multimediów należących do innych użytkowników, w tym administratorów.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza żadnych kontroli uprawnień, statusu wpisu ani hasła przed renderowaniem treści wpisu dostarczonego przez użytkownika, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na czytanie treści prywatnych, szkiców, oczekujących i chronionych hasłem wpisów, do których nie są upoważnieni.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.81 nie przeprowadza kontroli autoryzacji na poziomie obiektu podczas importowania treści szablonu do strony, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na nadpisywanie treści Elementor dowolnych wpisów i stron, w tym należących do administratorów, oraz na wstrzykiwanie JavaScript przez ustawienie widgetu, które jest wyprowadzane bez escapowania, co prowadzi do Stored Cross-Site Scripting wykonującego się w sesji każdego użytkownika odwiedzającego dotkniętą stronę.

Wtyczka AF Companion dla WordPressa przed wersją 2.2.0 nie weryfikuje typu plików przesyłanych przez jedną z funkcji importu, co pozwala użytkownikom z niskoprzywilejowaną rolą zarządzania sklepem na przesyłanie dowolnych plików, w tym PHP, co prowadzi do zdalnego wykonania kodu.

Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.111 nie przeprowadza żadnych kontroli uprawnień w kilku akcjach AJAX, opierając się tylko na sekrecie całej instalacji, który jest ujawniany każdemu użytkownikowi uprawnionemu do eksportu witryny, co pozwala takiemu użytkownikowi na import dowolnego archiwum witryny i uzyskanie dostępu administratora. Wykorzystanie wymaga, aby administrator przyznał uprawnienie eksportu roli, która nie posiada własnego uprawnienia importu wtyczki, co nie jest domyślną konfiguracją.

Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.50 nie przeprowadza kontroli własności lub uprawnień per obiekt podczas aktualizacji zamówień przez REST API, co pozwala użytkownikom z rolą Instruktora na modyfikowanie dowolnych zamówień na stronie, umożliwiając darmowe zapisy na kursy, cofanie płatnych zapisów innych użytkowników oraz manipulowanie notatkami zamówień.

ManageEngine DataSecurity Plus w wersjach przed 6310 jest podatny na uwierzytelnione wstrzyknięcie SQL. Uwierzytelniony technik może wykonywać dowolne zapytania SQL poprzez moduł Reports.

Produkt ManageEngine DataSecurity Plus w wersjach przed 6310 jest podatny na obejście uwierzytelniania agentów, co pozwala niezarejestrowanym agentom na wysyłanie żądań bez odpowiedniego uwierzytelnienia.

Wtyczka ShortPixel Image Optimizer – Optimize Images, Convert WebP & AVIF dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 6.5.5 włącznie, poprzez deserializację niezaufanych danych wejściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć obiekt PHP. W podatnym oprogramowaniu nie występuje znany łańcuch POP, więc podatność nie ma skutku, dopóki inna wtyczka lub motyw zawierający łańcuch POP nie zostanie zainstalowany. Jeśli taki łańcuch POP jest obecny, atakujący może wykonywać działania takie jak usuwanie dowolnych plików, pozyskiwanie poufnych danych lub wykonanie kodu.

Oprogramowanie OAKlouds firmy HGiga zawiera podatność dowolnego odczytu plików. Nieuwierzytelniony zdalny atakujący może wykorzystać przejście ścieżki względnej (Relative Path Traversal) do odczytu dowolnych plików systemowych.

Oprogramowanie OAKlouds firmy HGiga zawiera podatność niezabezpieczonej deserializacji. Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod na serwerze, wysyłając specjalnie spreparowaną treść serializowaną.

W marcopiovanello yt-dlp-web-ui do wersji v4 wykryto podatność bezpieczeństwa. Dotyczy ona funkcji NewGenericDownload w pliku server/internal/downloaders/generic.go. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Nazwa poprawki to c7ad3bd79c7c520a7d17e7f2ba19d962be8e7897.

Biblioteka Biggop jest podatna na Cross-Site Scripting przez parametr 'display_id' z API Sigmative w różnych wersjach z powodu niewystarczającego kodowania wyjścia. Umożliwia to atakującym, którzy mogą skompromitować serwer API Sigmative, wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.