Katalog podatności CVE

Wtyczka Molongui Authorship do WordPressa jest podatna na przechowywane, oparte na DOM, ataki XSS poprzez parametr 'comment' (atrybut href wewnątrz treści komentarza). Podatność dotyczy wszystkich wersji do 5.2.12 włącznie.

Wtyczka WPAdverts – Classifieds Plugin do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'adverts_location'. Podatność dotyczy wszystkich wersji do 2.3.4 włącznie.

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'shipping_first_name'. Podatność dotyczy wszystkich wersji do 3.16.0.5 włącznie.

Wtyczka Post Grid Gutenberg Blocks – PostX do WordPressa jest podatna na przechowywane ataki XSS poprzez pole użytkownika display_name. Podatność dotyczy wszystkich wersji do 5.1.0 włącznie.

Wtyczka WP Meteor Website Speed Optimization Addon do WordPressa jest podatna na przechowywane ataki XSS poprzez nazwę autora komentarza. Podatność dotyczy wszystkich wersji do 3.4.18 włącznie.

Wtyczka Quiz and Survey Master (QSM) do WordPressa jest podatna na przechowywane, oparte na DOM, ataki XSS poprzez parametr 'qsm_hidden_questions'. Podatność dotyczy wszystkich wersji do 11.2.6 włącznie.

Wtyczka VikBooking Hotel Booking Engine & PMS do WordPressa jest podatna na przechowywane ataki XSS poprzez parametr 'attachments[name]'. Podatność dotyczy wszystkich wersji do 1.8.15 włącznie.

Wtyczka WP File Download do WordPressa jest podatna na obejście autoryzacji w wszystkich wersjach do 6.3.9 włącznie. Wtyczka nie weryfikuje poprawnie uprawnień użytkownika do wykonania akcji.

Wtyczka Bookly dla WordPressa jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych z parametru 'value' w wersjach do 28.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom i wyższym może wstrzyknąć obiekt PHP, ale nie jest znany łańcuch gadżetów.

Wtyczka 10Web Booster dla WordPressa jest podatna na trwały atak XSS przez parametr 'author' w wersjach do 2.34.8 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.

Wtyczka LazyLoad dla WordPressa jest podatna na trwały atak XSS przez parametr 'comment_content' w wersjach do 2.4.0 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony, ale wymaga zatwierdzenia komentarza przez administratora.

Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na trwały atak XSS (DOM-based) przez parametr 'wcpr_image_upload_id' w wersjach do 1.2.30 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.

Wtyczka Presto Player dla WordPressa jest podatna na trwały atak XSS przez treść komentarza z tagiem <presto-player> w wersjach do 4.5.1 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony, ale wymaga wstępnego zatwierdzenia komentarza.

Wtyczka Real Estate Manager dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' w wersjach do 7.3 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Zabezpieczenie reCAPTCHA można łatwo ominąć.

Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie wiąże konta, którego hasło jest zmieniane, z numerem telefonu zweryfikowanym podczas resetu hasła OTP. Umożliwia to nieuwierzytelnionym atakującym ustawienie nowego hasła na dowolnym koncie, w tym administratora, poprzez weryfikację kodu jednorazowego wysłanego na kontrolowany numer telefonu.

Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie weryfikuje, że konto, na które następuje logowanie, jest tym, do którego należy zweryfikowany kod jednorazowy. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik z zapisanym numerem telefonu, w tym administrator, poprzez wykonanie wyzwania kodowego na kontrolowanym telefonie.

Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na trwały atak XSS przez webhook Auphonic w wersjach do 4.5.6 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Atak jest wyzwalany przez wysłanie żądania do endpointu webhook z polem status_string innym niż 'Done'.

Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.

Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co prowadzi do wstrzyknięcia SQL możliwego do wykorzystania przez nieuwierzytelnionych użytkowników.

Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje wartości przesyłanych przez nieuwierzytelniony endpoint przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS wykonywanego w sesji każdego administratora, który ją wyświetli.