Katalog podatności CVE

Plugin Schema & Structured Data for WP & AMP przed wersją 1.66 nie sprawdza, czy post jest chroniony hasłem przed umieszczeniem jego treści w generowanych danych strukturalnych, co pozwala niezalogowanym użytkownikom uzyskać treść postów chronionych hasłem przez wiele publicznych ścieżek wyjścia.

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie ma odpowiednich kontroli uwierzytelniania/autoryzacji w jednej z procedur drukowania raportów, co pozwala niezalogowanym użytkownikom pobierać szczegóły zamówień WooCommerce oraz dane kontaktowe klientów, a także wyszukiwać zamówienia według nazwiska lub adresu e-mail klienta.

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie oczyszcza i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala niezalogowanym użytkownikom przeprowadzać ataki SQL injection.

Plugin Eventin przed wersją 4.1.24 nie zapobiega użyciu tokenu wydanego gościowi podczas finalizacji zakupu do późniejszej zmiany biletów w zamówieniu, co pozwala niezalogowanym użytkownikom zastąpić płatny bilet darmowym i sfinalizować zamówienie bez płacenia.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio weryfikuje adresów URL przed ich pobraniem podczas procesu importu, co pozwala użytkownikom z uprawnieniami importu (domyślnie administratorzy) powodować wysyłanie przez stronę żądań do wewnętrznych hostów i usług oraz odczytywać ich odpowiedzi. Jest to niepełna poprawka dla CVE-2026-11397.

Plugin WP Import Export Lite przed wersją 3.9.33 nie escapuje nazw pól niestandardowych pobranych z bazy danych przed wstawieniem ich do DOM jednego z ekranów administracyjnych, co pozwala użytkownikom z rolą co najmniej contributor na przeprowadzanie ataków Stored XSS, które wyzwalają się w przeglądarce użytkownika z wysokimi uprawnieniami, takiego jak administrator, przeglądającego ten ekran.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości konfiguracji importu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom, którym administrator nadał uprawnienia importu, przeprowadzać ataki SQL injection.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości filtrów eksportu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom posiadającym uprawnienia eksportu (domyślnie administratorzy, mogą być przyznane niższym rolom) przeprowadzać ataki SQL injection.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pliku podanej przez użytkownika przed jej odczytem i skopiowaniem do publicznie dostępnego katalogu. Umożliwia to użytkownikom z uprawnieniem importu ujawnienie wrażliwych plików z serwera, w tym plików spoza katalogu web root. Ten sam kod dodatkowo łagodzi uprawnienia systemu plików dla dowolnej podanej ścieżki, niezależnie od tego, czy kopiowanie się powiedzie.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pochodzącej z przechowywanych danych użytkownika przed rekurencyjnym usunięciem katalogu, na który wskazuje. Umożliwia to użytkownikom, którym administrator delegował odpowiednie uprawnienie, usunięcie dowolnych katalogów wraz ze wszystkimi plikami, w tym spoza katalogu web root.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje typu, rozszerzenia ani zawartości plików pobieranych z adresu URL podanego przez użytkownika podczas importu. Umożliwia to użytkownikom z uprawnieniem importu zapisanie dowolnych plików, w tym wykonywalnych, na serwerze i osiągnięcie zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie ogranicza, która funkcja PHP może być zastosowana do eksportowanych wartości pól. Umożliwia to użytkownikom z uprawnieniem eksportu wywołanie dowolnych funkcji na kontrolowanych przez nich wartościach, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.34 nie waliduje ścieżki wyjściowej podanej przez użytkownika podczas zapisu plików eksportu. Umożliwia to użytkownikom z uprawnieniem eksportu zapisanie plików o dowolnych nazwach w dowolnych lokalizacjach na serwerze, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.

Zgłoszenie CVE zostało odrzucone. Powód: identyfikator CVE nie był potrzebny.

Wtyczka Online Scheduling and Appointment Booking System – Bookly dla WordPressa w wersjach do 28.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'conversation_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczyt pełnego transkryptu rozmowy AI dowolnego klienta — ujawniając imiona, adresy e-mail, numery telefonów i szczegóły wizyt — oraz wstrzykiwanie dowolnych wiadomości do rozmowy ofiary. Ponieważ rozmowy AI są przechowywane bez identyfikatora właściciela, użytkownika lub sesji, a identyfikatory rozmów są kolejnymi liczbami całkowitymi, atakujący może wyliczyć wszystkie rozmowy klientów, zwiększając parametr conversation_id.

Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.9.6 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'shortcode_content' shortcode'u bt_bb_shortcode. Wynika to z obejścia filtra bezpieczeństwa (bt_bb_save_pre) za pomocą wstrzyknięcia bajtu null oraz niewystarczającej sanityzacji danych wyjściowych w handlerze shortcode'u bt_bb_raw_content. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.

Wtyczka Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots dla WordPressa (wszystkie wersje do 2.15.22 włącznie) jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr 'icn' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, np. kliknięcia w link.

Wtyczka Contest Gallery – Upload & Vote Photos, Media, Sell with PayPal & Stripe dla WordPressa w wersjach do 32.0.1 włącznie jest podatna na nieuwierzytelnione dowolne nadpisanie plików z powodu niewystarczającej walidacji ścieżki pliku w parametrze 'baseUrlForFacebook'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi nadpisanie znanych plików, co przy spełnieniu pewnych warunków wstępnych może prowadzić do zdalnego wykonania kodu.

Wtyczka WP-Lister Lite for eBay dla WordPressa w wersjach do 3.8.9 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr żądania AJAX Cron Handler z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.