Katalog podatności CVE

Wtyczka Spam protection, Honeypot, Anti-Spam by CleanTalk dla WordPressa jest podatna na przechowywany atak XSS przez treść komentarza w atrybucie aria-label we wszystkich wersjach do 6.86 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie niestandardowym i wyżej wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Ładunek jest dostarczany przez nieuwierzytelnione przesyłanie komentarzy i wykonuje się wyłącznie dla niezalogowanych odwiedzających; jeśli moderacja komentarzy jest włączona, moderator zatwierdzający musi najpierw opublikować komentarz, zanim skrypt dotrze do innych użytkowników.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.9 nie weryfikuje, dla której aplikacji został wydany token dostępu Facebook, zanim zaakceptuje go jako dowód tożsamości. Pozwala to nieuwierzytelnionym atakującym zalogować się jako istniejący użytkownik, jeśli zdobędą jego token, lub utworzyć nowe konto i zalogować się nawet wtedy, gdy rejestracja użytkowników jest wyłączona.

Motyw Divi dla WordPressa jest podatny na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z użycia funkcji `wp_remote_get()` zamiast `wp_safe_remote_get()` w funkcji `et_pb_set_video_oembed_thumbnail_resolution()`, co nie ogranicza żądań do prywatnych lub zarezerwowanych zakresów IP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wysyłanie żądań do dowolnych lokalizacji z serwera aplikacji. Odpowiedź nie jest zwracana atakującemu (blind SSRF), ale istnieją orakle statusu i czasu.

Motyw Divi dla WordPressa jest podatny na DOM-Based Stored Cross-Site Scripting przez atrybut `image_src` shortcode'a `et_pb_video_slider_item` we wszystkich wersjach do 4.27.6 włącznie. Podatność wynika z tego, że pole `image_src` nie jest uwzględnione na białej liście `$url_options`, więc nie jest poddawane `esc_url_raw()` podczas zapisu. Po stronie serwera wartość jest renderowana w atrybucie HTML `data-image` za pomocą `esc_attr()`, ale kod JavaScript po stronie klienta odczytuje ten atrybut przez jQuery `.data('image')`, co zwraca zdekodowaną wartość, która jest następnie wstrzykiwana do DOM bez ponownego escapowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się po najechaniu na miniaturę karuzeli.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.12.1 włącznie poprzez deserializację niezaufanych danych wejściowych w wywołaniu zwrotnym płatności Telecom EDY (usces_action_acting_transaction). Nieuwierzytelnieni atakujący mogą przechowywać dowolne pary klucz/wartość 'reserve' jako metadane zamówienia podczas publicznej realizacji transakcji, a następnie wywołać wywołanie zwrotne z wybranym przez atakującego parametrem 'option', aby wybrać i zdeserializować te metadane bez żadnej weryfikacji podpisu dostawcy, adresu źródłowego, tożsamości transakcji ani własności. Łańcuch POP jest obecny w bibliotece TCPDF dołączonej do samej wtyczki, więc nie jest wymagana żadna dodatkowa wtyczka ani motyw. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików na serwerze, w tym wp-config.php, co może prowadzić do zdalnego wykonania kodu, gdy atakujący ponownie uruchomi instalator WordPressa przeciwko bazie danych, którą kontroluje. Skuteczne wykorzystanie jest uzależnione od wydrukowania faktury przez administratora w celu wyzwolenia usunięcia pliku.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.2 nie odpowiednio sanityzuje i nie escapuje wartości pola formularza przed umieszczeniem jej w wysyłanych wiadomościach e-mail z powiadomieniami HTML. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML do wiadomości dostarczanych administratorom i innym odbiorcom. Wykonanie skryptu zależy od klienta poczty odbiorcy, ale wstrzyknięty znacznik jest renderowany niezależnie.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.2 nie przeprowadza kontroli autoryzacji podczas rozwiązywania danych pochodzących z żądania podczas renderowania strony. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie dowolnych właściwości i metadanych użytkowników, postów i taksonomii, w tym hashy haseł, treści prywatnych i szkiców oraz sekretów przechowywanych w metadanych przez wtyczkę.

Wtyczka Ninja Forms – The Contact Form Builder That Grows With You dla WordPressa jest podatna na przechowywany atak XSS przez pomyłkę typu 'type' w elemencie potomnym Repeater przez niedopasowany klucz tablicy we wszystkich wersjach do 3.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Wykorzystanie wymaga aktywnego dodatku Ninja Forms File Uploads, ponieważ atak kieruje nieznajdujący się na białej liście wpis dziecka przez moduł obsługi File Uploads, aby zapisać dostarczony przez atakującego plik HTML zawierający dowolny JavaScript do dowolnego katalogu zapisywalnego przez serwer WWW, w tym do katalogu głównego witryny, skąd jest serwowany z własnego pochodzenia witryny.

Wtyczka Beaver Builder Plugin (Starter Version) dla WordPressa jest podatna na odbity atak XSS przez parametr 'no_results_message' node_preview we wszystkich wersjach do 2.11.0.1 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz dla WordPressa jest podatna na przechowywany atak XSS przez ładunek zakodowany encją w polu tekstowym we wszystkich wersjach do 2.12.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka Gravity Forms dla WordPressa jest podatna na przechowywany atak XSS przez wartość pola treści wpisu we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Exploit przetrwa sanityzację przy zapisie, ponieważ wp_kses_post pozwala na wymagane tagi i atrybuty HTML, a skrypt tooltip po stronie klienta ponownie analizuje wartość aria-label zdekodowaną przez przeglądarkę jako innerHTML, usuwając tylko elementy script, pozostawiając atrybuty onerror i inne procedury obsługi zdarzeń w pełni nienaruszone i wykonywalne.

Wtyczka QuickCal dla WordPressa do wersji 1.0.20 włącznie jest podatna na trwały atak XSS poprzez parametry pól niestandardowych z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nonce chroniący akcję AJAX booked_add_appt jest publicznie osadzony na każdej stronie z kalendarzem rezerwacji, co ułatwia jego pozyskanie.

Wtyczka Search Atlas SEO dla WordPressa przed wersją 2.6.24 nie przeprowadza kontroli nonce ani uprawnień przed przetworzeniem aktualizacji ustawień w jednym z handlerów o wczesnym priorytecie. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, nadpisanie lub usunięcie zapisanych poświadczeń konta usługi Google w witrynie.

Wtyczka WP File Download dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 6.3.8 włącznie przez parametr 'remoteurl'. Podatność umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Atakujący najpierw zatruwa meta posta _wpfd_file_metadata['file'] przez niezabezpieczony handler file.save, a następnie endpoint strumieniowania, zarejestrowany na init bez wymagań autoryzacji, udostępnia pliki każdemu, w tym nieuwierzytelnionym gościom.

Wtyczka Joli Table Of Contents dla WordPressa przed wersją 2.8.1 nie sanityzuje i nie escapuje niektórych swoich ustawień przed wypisaniem ich na stronie administracyjnej. Może to pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzanie ataków Stored Cross-Site Scripting nawet wtedy, gdy możliwość unfiltered_html jest zabroniona, na przykład w konfiguracji multisite.

Wtyczka JCH Optimize dla WordPressa przed wersją 5.0.1 nie odpowiednio ogranicza ścieżki katalogu podanej do jednej z administracyjnych funkcji przeglądania obrazów do wnętrza witryny. Umożliwia to użytkownikom z wysokimi uprawnieniami, administratorom w pojedynczej witrynie i administratorom podwitryn w multisite, wyliczanie katalogów i nazw plików poza katalogiem głównym witryny.

Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (Custom HTML block inner HTML)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atakujący może wstawić spreparowany div .df-element z data-df-lightbox='thumb' przez blok Custom HTML, którego wewnętrzny HTML jest przekazywany jako argument tytułu do parseThumbs() w czasie renderowania, umożliwiając wstrzyknięcie innerHTML do elementu span oraz atrybut breakout przez onerror na skonstruowanym elemencie img.

Wtyczka Dear Flipbook – PDF Flipbook, 3D Flipbook, PDF embed, PDF viewer dla WordPressa jest podatna na trwały atak XSS przez parametr 'post_content (class attribute of .dvcss element)' we wszystkich wersjach do 2.4.30 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload jest osadzony jako zakodowany w Base64 obiekt JSON w nazwie klasy CSS na bloku Custom HTML; funkcja parseCSSElements() po stronie frontendu dekoduje go po stronie klienta za pomocą atob() i JSON.parse() i renderuje właściwość logo jako surowy HTML, co oznacza, że żadna sanityzacja po stronie serwera ani klienta nie przechwytuje złośliwego skryptu przed wstawieniem do DOM.

PCRE2 przed wersją 10.48 zawiera podatność na zapis poza zakresem w funkcji pcre2_dfa_match z powodu ponownego użycia bufora obszaru roboczego bez sprawdzenia rozmiaru podczas rekurencyjnego dopasowywania DFA. Wymaga to kontrolowanego przez atakującego wyrażenia regularnego lub rekurencyjnego wzorca w połączeniu z małym limitem sterty.

Wtyczka Theme My Login dla WordPressa jest podatna na brak autoryzacji w wersjach do 7.1.15 włącznie na instalacjach Multisite. Podatność wynika z tego, że gałąź `gimmeanotherblog` w funkcji `tml_ms_signup_handler()` nie egzekwuje polityki rejestracji `active_signup` sieci, sprawdzając tylko `is_user_logged_in()`, podczas gdy sąsiednie gałęzie, takie jak `validate-blog-signup`, stosują pełną kontrolę polityki. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym bezpośrednie wysłanie POST `stage=gimmeanotherblog` do trasy rejestracji Theme My Login, całkowicie omijając skonfigurowaną politykę rejestracji — nawet gdy jest ustawiona na `none` lub `user` — co powoduje wykonanie `wpmu_create_blog()` z ID użytkownika atakującego, po czym WordPress przypisuje rolę Administratora na nowo utworzonej podstronie. Podniesienie uprawnień jest ograniczone do nowo utworzonej podstrony; konto atakującego zachowuje dostęp na poziomie subskrybenta na głównej stronie i nie uzyskuje uprawnień Super Admin ani sieciowych.