Katalog podatności CVE

Wtyczka WordPress Seraphinite Accelerator w wersji przed 2.29.24 nie sprawdza uprawnień w jednej z akcji AJAX aktualizujących stan. Uwierzytelnieni użytkownicy, np. subskrybenci, mogą zapisać nieprawidłową wartość powodującą nieobsłużony błąd przy każdym kolejnym ładowaniu strony administracyjnej, co czyni cały panel administracyjny niedostępnym dla wszystkich administratorów (odmowa usługi).

Wtyczka WordPress Newsletter w wersji przed 9.3.7 nie weryfikuje celu przekierowania po publicznej akcji subskrypcji. Nieuwierzytelnieni atakujący mogą przekierowywać użytkowników na dowolne zewnętrzne strony oraz ujawnić token subskrybenta, który daje dostęp do akcji front-endowych tego rekordu subskrybenta.

Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika przed zastosowaniem filtra statusu wpisu w jednej ze swoich tras REST. Nieuwierzytelnieni atakujący mogą wylistować kursy nieopublikowane, w tym szkice, oczekujące, prywatne, zaplanowane i usunięte.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie wykonuje żadnej weryfikacji uwierzytelnienia, uprawnień ani nonce przed udostępnieniem wcześniej wygenerowanego pliku eksportu zamówień. Nieuwierzytelnieni atakujący, którzy potrafią ustalić jego identyfikator, mogą pobrać nazwiska klientów, zakupy, kwoty i adresy e-mail gości.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika w jednym ze swoich narzędzi administracyjnych kursu. Nieuwierzytelnieni atakujący mogą wylistować nazwy wyświetlane i identyfikatory wszystkich zapisanych studentów wraz z kursami, na które są zapisani, oraz odzyskać ich adresy e-mail poprzez filtr wyszukiwania tego samego handlera.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie sprawdza uprawnień użytkownika w jednym ze swoich handlerów szablonów administracyjnych. Nieuwierzytelnieni atakujący mogą pobrać tekst, identyfikator i typ każdego opublikowanego pytania quizu w witrynie wraz z wyszukiwaniem po słowach kluczowych, co jest treścią, którą wtyczka LearnPress w wersji przed 4.4.7 normalnie utrzymuje jako niepubliczną.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie escapuje wartości dostarczonej przez użytkownika przed użyciem jej w atrybucie HTML na publicznej stronie. Nieuwierzytelnieni atakujący mogą wykonać dowolny JavaScript w przeglądarce każdego, kto otworzy spreparowany link, w tym zalogowanego administratora. Dotyczy to wyłącznie witryn działających w trybie klasycznym, nieblokowym.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie ogranicza, kto może ustawić identyfikator rejestrujący, który użytkownik ostatnio edytował wpis formularza, i polega na tym identyfikatorze przy podejmowaniu decyzji o usunięciu HTML z przechowywanych wartości wpisów. Umożliwia to niezalogowanym odwiedzającym renderowanie znaczników w widoku wpisów w panelu administracyjnym, które w innym przypadku zostałyby usunięte, oraz przypisanie ich zgłoszenia administratorowi, który go nie dokonał.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nie sprawdza, czy użytkownik ma dostęp do kursu przed zwróceniem treści dyskusji lekcji. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, czytanie komentarzy z kursów, do których nie jest zapisany, w tym komentarzy oczekujących na moderację.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nieprawidłowo określa, czy przychodzące żądanie jest skierowane do jej własnego API REST, i nie egzekwuje uprawnień zapisanych dla poświadczenia API. Umożliwia to posiadaczowi klucza tylko do odczytu działanie jako konto administratora, które go wydało.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.8.1 nie normalizuje w spójny sposób adresu e-mail darczyńcy między wartością przechowywaną a wartością używaną później do wyszukania darczyńcy. Umożliwia to niezalogowanym użytkownikom identyfikację jako dowolny darczyńca i ustawienie hasła WordPressa dowolnego konta użytkownika powiązanego z takim adresem, w tym administratora.

Wtyczka FluentBoards dla WordPressa przed wersją 2.0.15 nieprawidłowo weryfikuje autoryzację przy zwracaniu listy tablic, do których należy użytkownik. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez dostępu do tablic, ujawnienie prywatnych członkostw w tablicach dowolnych użytkowników poprzez podanie ich identyfikatora.

Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.4 nie wykonuje kontroli CSRF ani uprawnień podczas przetwarzania akcji masowych na ekranach administracyjnych i nie ogranicza docelowych elementów do własnych rekordów. Umożliwia to atakującym nakłonienie zalogowanego administratora do trwałego usunięcia dowolnych wpisów i stron za pomocą spreparowanego żądania.

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nieprawidłowo autoryzuje finalizację zamówienia, gdy włączona jest metoda płatności offline (lokalna), polegając na nonce, który jest udostępniany niezalogowanym odwiedzającym i nigdy nie sprawdza, czy wywołujący jest właścicielem zamówienia. Umożliwia to niezalogowanym atakującym zresetowanie dowolnego istniejącego zamówienia i jego uczestników do stanu oczekującego, unieważniając w ten sposób opłacone bilety.

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje uprawnień użytkownika do tworzenia kont podczas dodawania mówcy. Umożliwia to użytkownikom z poziomem współautora i wyższym tworzenie nowych kont użytkowników WordPressa, które mają uprawnienia wykraczające poza ich własne, w tym publikowanie treści i przesyłanie plików, a także, podając adres e-mail, który kontrolują, uzyskanie działającego logowania do utworzonego konta.

Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.

Wtyczka Xpro Addons — 140+ Widgets for Elementor dla WordPressa przed wersją 1.7.9 nie waliduje ani nie sanityzuje ustawienia linku widgetu przed zapisaniem i użyciem go w wywołaniu JavaScript nawigacji. Umożliwia to użytkownikom z rolą współautora i wyższym wstrzyknięcie i zapisanie JavaScript, który wykonuje się w przeglądarce każdego, kto wejdzie w interakcję z dotkniętym widgetem.

Podatność w pluginie Schema & Structured Data for WP & AMP przed wersją 1.66 nie weryfikuje uprawnień użytkownika do edycji konkretnego posta przy generowaniu schematu, co pozwala użytkownikom z rolą contributor i wyżej na odczyt treści cudzych wpisów (szkice, oczekujące, prywatne i chronione hasłem).

Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie weryfikuje prawidłowo własności ani statusu moderacji komentarza przed zwróceniem jego treści, co pozwala niezalogowanym użytkownikom na odczyt komentarzy oczekujących na moderację lub oznaczonych jako spam.