Katalog podatności CVE

Motyw Divi dla WordPress jest podatny na Stored Cross-Site Scripting przez parametr `redirect_url` w shortcode `et_pb_contact_form` we wszystkich wersjach do 4.27.6 włącznie. Atrybut `redirect_url` jest sanityzowany funkcją `esc_attr()` zamiast `esc_url()` przed renderowaniem do atrybutu HTML `data-redirect_url`. Dodatkowo `redirect_url` nie znajduje się w tablicy `$url_options` w `class-et-builder-element.php`, więc nie otrzymuje sanityzacji `esc_url_raw()` podczas parsowania shortcode. Po udanym wysłaniu formularza JavaScript po stronie klienta odczytuje ten atrybut i przekazuje go bezpośrednio do `window.location.href`, wykonując dowolny JavaScript z URI `javascript:`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik wyśle formularz kontaktowy.

Wtyczka OAuth Single Sign On dla WordPressa przed wersją 7.0.1 nie weryfikuje asercji tożsamości zwracanej przez przepływ Steam single sign-on, co pozwala niezalogowanym atakującym na logowanie się jako dowolny nieadministracyjny użytkownik oraz tworzenie nowych kont.

Wtyczka WordPress WPvivid — Backup, Migration & Staging przed wersją 0.9.133 nie sanityzuje listy identyfikatorów dostarczonej przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala administratorom na przeprowadzanie ataków SQL injection.

Wtyczka Simple Ajax Chat dla WordPressa przed wersją 20260827 nie escapuje treści wiadomości czatu przed jej renderowaniem, co pozwala niezalogowanym użytkownikom na wstrzykiwanie dowolnych atrybutów HTML do strony i uruchamianie skryptów w przeglądarce każdego, kto ogląda czat, w tym administratorów.

Wtyczka FAQ Builder AYS dla WordPressa przed wersją 1.8.5 nie sanityzuje ani nie escapuje treści przesyłanych przez niezalogowanych odwiedzających przed ich zapisaniem i wyświetleniem na stronie panelu administracyjnego. Dodatkowo zastosowane escapowanie jest cofane przez kolejny krok dekodowania, co prowadzi do Stored XSS, który wykonuje się w kontekście zalogowanego administratora.

Wtyczka My Login dla WordPress przed wersją 7.2.0 nie egzekwuje ustawienia rejestracji sieci podczas przetwarzania rejestracji stron w instalacjach multisite, co pozwala użytkownikom z kontem subskrybenta oraz nieuwierzytelnionym użytkownikom w niektórych sieciach na tworzenie nowych stron i otrzymywanie na nich uprawnień administratora.

Wtyczka JetStyleManager dla Gutenberg WordPress przed wersją 1.3.9 nie posiada ochrony CSRF na niektórych akcjach AJAX, co pozwala atakującym nakłonić zalogowanego użytkownika z uprawnieniem edit_posts (Contributor i wyżej) do usunięcia lub modyfikacji niestandardowych skórek widżetów za pomocą spreparowanego żądania, pod warunkiem że użytkownik wykona akcję taką jak kliknięcie linku.

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje własności ani typu obiektu identyfikatorów dostarczanych przez użytkownika podczas zapisywania wariantów produktów, co pozwala uwierzytelnionym użytkownikom z rolą sprzedawcy na modyfikowanie wariantów produktów należących do innych sprzedawców oraz zmianę statusu i tytułu dowolnych wpisów poprzez IDOR.

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie weryfikuje, czy sprzedawca wysyłający zmianę statusu wysyłki zamówienia z front-endu jest właścicielem danego zamówienia, co pozwala każdemu uwierzytelnionemu sprzedawcy oznaczyć zamówienie innego sprzedawcy jako wysłane, dodać notatkę do zamówienia fałszywie przypisaną ofierze oraz wywołać e-mail z powiadomieniem o wysyłce do klienta.

Wtyczka WC Vendors dla WordPress przed wersją 2.7.2.1 nie posiada ochrony CSRF na niektórych akcjach zmiany statusu wysyłki zamówień z front-endu, co może pozwolić atakującym na nakłonienie zalogowanego sprzedawcy do zmiany statusu wysyłki własnych zamówień za pomocą spreparowanego żądania.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem statystyk nauki studenta, co pozwala nieuwierzytelnionym atakującym na ujawnienie liczby kursów, punktów, certyfikatów, sum quizów i zadań dowolnego zarejestrowanego użytkownika.

Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.46 nieprawidłowo weryfikuje własność obiektu programu nauczania przed działaniem na nim, co pozwala uwierzytelnionym użytkownikom z rolą instruktora usuwać lub modyfikować sekcje i materiały programu nauczania należące do kursów innych instruktorów.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie ogranicza dostępu do trasy REST, która wyświetla listę kursów autora, ani nie filtruje tej listy pod względem statusu publikacji, co pozwala nieuwierzytelnionym użytkownikom na odczyt tytułów i identyfikatorów nieopublikowanych (szkiców, oczekujących i prywatnych) kursów.

Wtyczka MasterStudy LMS WordPress Plugin przed wersją 3.7.46 nieprawidłowo weryfikuje własność identyfikatorów pytań quizowych, co pozwala użytkownikom z dostępem instruktora czytać pytania quizowe innych instruktorów, w tym poprawne odpowiedzi i wyjaśnienia.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie przeprowadza kontroli autoryzacji przed zwróceniem danych o zapisach i postępach w nauce poszczególnych uczniów. Umożliwia to nieuwierzytelnionym atakującym ujawnienie kursów, na które zapisany jest dowolny zarejestrowany użytkownik, oraz jego postępów w nauce.

Wtyczka MasterStudy LMS WordPress przed wersją 3.7.46 nie weryfikuje poprawnie autoryzacji podczas pobierania danych pozycji zamówienia. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, odczytanie rekordów sprzedaży kursów innych instruktorów poprzez podanie identyfikatora innego użytkownika.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.

Wtyczka CatalogX WordPress przed wersją 6.1.3 nie sanityzuje ani nie escapuje treści, którą nieuwierzytelniony użytkownik może zapisać, zanim zostanie ona umieszczona w e-mailu z zapytaniem o produkt wysyłanym do administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnej treści do tego e-maila, który jest dostarczany, gdy niezwiązany odwiedzający później wyśle zapytanie o produkt.

Wtyczka SigmaForms Pro – AI Generated Forms dla WordPressa do wersji 1.4.11 włącznie jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_submission_files. Niezalogowani atakujący mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik, np. wp-config.php. Złośliwy adres URL z path traversal jest przesyłany przez pole formularza i przechowywany w bazie danych, a usunięcie następuje, gdy administrator usunie rekord zgłoszenia z panelu administracyjnego.

Wtyczka FormLayer WordPress przed wersją 1.0.9 nie przeprowadza żadnej kontroli autoryzacji przed zwróceniem pełnej zapisanej konfiguracji formularza w odpowiedzi na publiczny handler zgłoszeń. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie adresów e-mail odbiorców powiadomień, celów przekierowań potwierdzających oraz ustawień integracji, w tym dla nieopublikowanych formularzy.