Katalog podatności CVE

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.9 nie escapuje wartości pola formularza rejestracji przed wyświetleniem jej w atrybucie HTML na stronie administracyjnej. Pozwala to niezalogowanym użytkownikom przeprowadzić ataki Stored Cross-Site Scripting przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Rank Math SEO WordPress przed wersją 1.0.277 nie weryfikuje, czy aktualizowany wiersz metadanych należy do obiektu, do którego użytkownik został autoryzowany. Umożliwia to użytkownikom z rolą Autora i wyżej nadpisywanie dowolnych metadanych postów i użytkowników, w tym należących do użytkowników z wyższymi uprawnieniami.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie przeprowadza kontroli uprawnień podczas zbiorczych aktualizacji metadanych dotyczących terminów taksonomii i ponownie używa dostarczonego identyfikatora obiektu w różnych typach obiektów, co pozwala użytkownikom z rolą Autora i wyżej modyfikować metadane SEO terminów, których nie mogą edytować, oraz nadpisywać tytuły postów należących do innych użytkowników.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy żądający użytkownik ma uprawnienia do odczytu konkretnego posta, zanim zwróci jego treść i metadane SEO. Umożliwia to użytkownikom z rolą Autora i wyżej odczytanie tytułu, treści i metadanych niepublicznych postów innych użytkowników.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy użytkownik ma uprawnienia do edycji modyfikowanego obiektu przed aktualizacją jego metadanych indeksowania SEO. Umożliwia to użytkownikom z rolą Autora i wyżej zmianę tych metadanych na treściach, taksonomiach i profilach użytkowników, których nie posiadają, oraz usuwanie treści innych użytkowników z mapy strony i indeksu wyszukiwarki.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie weryfikuje, czy post, którego schemat renderuje na stronie, jest publicznie widoczny. Umożliwia to nieuwierzytelnionym odwiedzającym ujawnienie schematu i powiązanej treści postów w wersji roboczej, oczekujących, prywatnych, zaplanowanych i chronionych hasłem.

Wtyczka Rank Math SEO WordPress przed wersją 1.0.277.1 nie sprawdza, czy post jest chroniony hasłem, zanim użyje jego treści do budowania publicznie generowanych metadanych SEO. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści postów chronionych hasłem.

Wtyczka GamiPress WordPress przed wersją 7.9.9.6 nie ogranicza prawidłowo funkcji śledzenia oglądania wideo. Umożliwia to użytkownikom z rolą tak niską jak Subskrybent przyznawanie skonfigurowanych punktów gamifikacji, osiągnięć i rang dowolnym użytkownikom, w tym administratorom, oraz gromadzenie ich bez ograniczeń.

Wtyczka MultiVendorX WordPress przed wersją 5.0.15 nie ma odpowiednich kontroli autoryzacji na jednej z tras API REST do listowania. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie danych kontaktowych i wypłat sprzedawców, kwot oczekujących wypłat oraz notatek administracyjnych dołączonych do aplikacji sklepowych.

Wtyczka Social Media Share Buttons & Social Sharing Icons dla WordPressa przed wersją 3.0.1 nie escapuje poprawnie wartości pochodzącej z żądania przed wyświetleniem jej w atrybucie zdarzenia JavaScript, co prowadzi do Reflected Cross-Site Scripting. Atak jest wyzwalany, gdy użytkownik wejdzie w interakcję z przyciskiem, a wtyczka działa w nie domyślnej konfiguracji wyświetlania ikon.

Wtyczka Social Media Share Buttons & Social Sharing Icons WordPress przed wersją 3.0.1 nie escapuje tytułu posta przed wypisaniem go w atrybucie zdarzenia JavaScript inline. Umożliwia to użytkownikom z rolą Współautor i wyżej przeprowadzenie ataków Stored Cross-Site Scripting, które są wyzwalane, gdy odwiedzający wejdzie w interakcję z dotkniętym przyciskiem. Wykorzystanie wymaga, aby wtyczka działała w nie domyślnej konfiguracji wyświetlania ikon.

Wtyczka Comments WordPress przed wersją 7.6.66 nie waliduje wartości używanej do budowania zapytania do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie SQL i odczytanie komentarzy, do których nie mają uprawnień, w tym komentarzy oczekujących na moderację, oznaczonych jako spam lub usuniętych, oraz komentarzy na prywatnych i szkicowych postach. Wstrzyknięty tekst dociera do zapytania jako gramatyka, a nie jako dane, i nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści komentarzy, a nie całej bazy danych.

Wtyczka JetBackup dla WordPressa przed wersją 3.1.23.5 nie weryfikuje roli ani uprawnień konta zachowywanego podczas przywracania lub migracji przed nadaniem mu uprawnień administratora. Pozwala to użytkownikowi z poziomem subskrybenta uzyskać dostęp administratora po przywróceniu lub migracji witryny przez właściciela.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.13.0 nie sprawdza, czy komentarz został zatwierdzony, ani czy profil, do którego należy, jest prywatny, zanim zwróci aktywność profilu nieuwierzytelnionym odwiedzającym. Umożliwia to odczyt treści komentarzy oczekujących na moderację.

Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie zapobiega deserializacji wartości pól dostarczonych przez użytkownika, gdy przesłany post jest ponownie otwierany w formularzu edycji front-end. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na przeprowadzenie PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, jeśli na stronie znajduje się odpowiedni łańcuch gadżetów.

Wtyczka Gutentor dla WordPressa przed wersją 4.0.6 nie stosuje odpowiedniego ograniczenia kontekstu do jednego ze swoich punktów końcowych REST, co ujawnia zwykły tekst haseł postów chronionych hasłem każdemu uwierzytelnionemu użytkownikowi z rolą co najmniej Subskrybenta.

Wtyczka Solace Extra dla WordPressa przed wersją 1.7.0 nie przeprowadza żadnej autoryzacji ani kontroli statusu postu w jednej ze swoich akcji AJAX, co pozwala nieuwierzytelnionym odwiedzającym czytać treść nieopublikowanych (szkiców, oczekujących, prywatnych i usuniętych) części Site Builder, których WordPress normalnie nie serwuje.

Wtyczka MotoPress Appointment Booking dla WordPressa przed wersją 2.4.8 nie przeprowadza kontroli autoryzacji ani własności podczas obsługi identyfikatora rezerwacji dostarczonego przez użytkownika na nieuwierzytelnionym punkcie końcowym, co pozwala nieuwierzytelnionym atakującym trwale usuwać rezerwacje innych użytkowników. Jest to niepełna poprawka CVE-2026-9180: usuwanie pozostaje osiągalne na stronach korzystających z potwierdzenia płatności, potwierdzone do wersji 2.4.7.

Wtyczka DevKit Pro dla WordPressa jest podatna na brak autoryzacji w wersjach do 2.3.0 włącznie. Wynika to z braku sprawdzenia uprawnień i braku walidacji nonce w funkcji DPDEV_install_themes_func() zarejestrowanej w akcji wp_ajax_DPDEV_install_themes. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym instalowanie dowolnych pakietów ZIP motywów zawierających pliki PHP, które są wyodrębniane do katalogu wp-content/themes/, co może umożliwić zdalne wykonanie kodu.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie wymaga uwierzytelnienia ani ważnego tokenu żądania przed uruchomieniem łańcucha akcji po dokonaniu rezerwacji, co pozwala nieuwierzytelnionemu użytkownikowi wywołać powiadomienia o rezerwacji i wywołania zwrotne integracji dla rezerwacji poprzez enumerację jej identyfikatora.