Katalog podatności CVE

Wtyczka Eventin dla WordPressa przed wersją 4.1.22 nie sprawdza prawidłowo autoryzacji na kilku trasach REST do zarządzania wydarzeniami, umożliwiając użytkownikom z rolą współautora lub wyższą zmianę ustawienia strony głównej na wydarzenie, którego nie są właścicielami, oraz tworzenie, edytowanie i usuwanie globalnych taksonomii wydarzeń i prelegentów, którymi nie powinni zarządzać.

Wtyczka VikWidgetsLoader dla WordPressa przed wersją 1.12.0 nie sanityzuje ani nie escapuje atrybutu bloku przed wypisaniem go w skrypcie inline, umożliwiając użytkownikom z rolą współautora przechowywanie dowolnego JavaScriptu, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty wpis, w tym administratora przeglądającego oczekujące zgłoszenie.

Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie sprawdza prawidłowo wartości ścieżki szablonu przed użyciem jej do dołączenia lokalnego pliku, umożliwiając użytkownikom z rolą współautora lub wyższą dołączanie i wykonywanie dowolnych lokalnych plików PHP.

Wtyczka King Addons for Elementor dla WordPressa przed wersją 51.1.77 nie escapuje ustawienia stylu wyświetlania widgetu przed wypisaniem go w atrybucie HTML, umożliwiając użytkownikom z rolą współautora lub wyższą przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanych administratorów.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.3.1 nie ogranicza dostępu do niepublicznych treści w publicznych archiwach REST, umożliwiając użytkownikom z niskimi uprawnieniami, takim jak współautor, odczytanie pełnej treści wszystkich nieopublikowanych rekordów na stronie, w tym rekordów innych użytkowników.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie escapuje identyfikatora dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, umożliwiając użytkownikom z rolą edytora lub wyższą dołączanie dowolnego SQL i odczytywanie zawartości bazy danych, w tym danych uwierzytelniających użytkowników.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sanityzuje i nie escapuje kilku atrybutów shortcode przed wypisaniem ich w atrybutach HTML, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sprawdza prawidłowo adresu URL linku przed wypisaniem go w atrybucie HTML, polegając na filtrze, który można obejść, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik kliknie dotknięty link.

Wtyczka WordPress Greenshift przed wersją 13.2.0 nie zabezpiecza odpowiednio atrybutu animacji bloku przed wypisaniem go w atrybucie HTML, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania treści.

Wtyczka WordPress Greenshift przed wersją 13.2.0 nie weryfikuje adresu URL podanego przez użytkownika przed pobraniem go po stronie serwera, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmuszenie serwera do wysyłania żądań do dowolnych hostów i odczytania odpowiedzi.

Wtyczka WordPress Masteriyo LMS przed wersją 3.4.0 nie sanityzuje i nie escapuje niektórych ustawień kursu przed ich wyświetleniem na stronie dostępnej dla wszystkich odwiedzających, co pozwala użytkownikom z rolą autora kursu na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji każdego przeglądającego kurs, w tym zalogowanego administratora.

Wtyczka WordPress Music Store przed wersją 1.4.5 nie sanityzuje i nie escapuje danych wejściowych użytkownika przed użyciem ich w zapytaniu SQL, co prowadzi do podatności na wstrzyknięcie SQL, którą mogą wykorzystać nieuwierzytelnieni użytkownicy.

Wtyczka WordPress Accept Stripe Payments przed wersją 2.1.4 nie weryfikuje, czy produkt zrealizowany po zakończeniu płatności odpowiada produktowi, za który faktycznie dokonano płatności, sprawdzając jedynie, czy zapłacona kwota jest co najmniej równa cenie referencyjnego produktu, co pozwala nieuwierzytelnionym atakującym, którzy dokonają prawdziwej płatności, na otrzymanie realizacji dla innego produktu o równej lub niższej cenie niż ten, za który zapłacili.

Wtyczka WordPress Accept Stripe Payments przed wersją 2.1.4 nie weryfikuje adresu URL podanego przez użytkownika przed użyciem go w przekierowaniu, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolną zewnętrzną stronę internetową, co może być wykorzystane do phishingu.

Wtyczka WordPress IPGP Visitors Origin przed wersją 1.6 nie sanityzuje ani nie escapuje danych wejściowych użytkownika przed ich odzwierciedleniem w odpowiedzi HTTP, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataków Reflected Cross-Site Scripting przeciwko użytkownikom, którzy zostaną nakłonieni do wysłania spreparowanego żądania.

Wtyczka WordPress My Private Site przed wersją 4.2.3 nie stosuje kontroli dostępu do prywatności witryny do niektórych nieuwierzytelnionych powierzchni odczytu front-end, co pozwala nieuwierzytelnionym użytkownikom na przeglądanie treści postów, komentarzy i adresów URL postów z witryny, którą administrator umieścił za obowiązkowym logowaniem.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany atak XSS przez treść komentarza za pomocą LazyLoad Background Mutator we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Wymaga to włączenia funkcji "Lazy Load Images" z opcją "Process background images" oraz zatwierdzenia złośliwego komentarza przez moderatora przed wyzwoleniem wykonania.

Wtyczka WordPress SEO Flow by LupsOnline przed wersją 3.0.3 nieprawidłowo weryfikuje poświadczenia dostarczane z żądaniami API, co pozwala nieuwierzytelnionym użytkownikom na podszycie się pod administratora, który skonfigurował wtyczkę, i przejęcie witryny. Wykorzystanie wymaga, aby wtyczka została skonfigurowana, co jest jej normalnym stanem działania.

Wtyczka WordPress Smart Post przed wersją 4.0.8 nie sprawdza typu, własności ani statusu posta, który ma zostać zduplikowany, co pozwala użytkownikom z uprawnieniami współautora i wyższym na skopiowanie dowolnego prywatnego lub chronionego hasłem posta do własnego szkicu i odczytanie jego treści oraz metadanych.