Katalog podatności CVE

Wtyczka Mailgun dla WordPressa do wersji 2.2.0 jest podatna na Server-Side Request Forgery (SSRF) poprzez path traversal. Wynika to z niewystarczającej walidacji danych wejściowych w funkcji add_list(), która przyjmuje kontrolowane przez użytkownika klucze tablicy z $_POST['addresses'] i przekazuje je przez sanitize_text_field(). Umożliwia to nieuwierzytelnionym atakującym wykonywanie uwierzytelnionych żądań POST do dowolnego punktu końcowego API Mailgun przy użyciu klucza API witryny, w tym tworzenie tras przekazywania przychodzących e-maili, które mogą przechwytywać e-maile resetujące hasło, prowadząc do przejęcia konta administratora.

W Google Cloud Application Integration (wersje od 2025-04-28 do 2026-04-04) znaleziono podatność braku autoryzacji w QueryEngineTask, która pozwala zewnętrznemu atakującemu na dostęp do wrażliwych danych wewnętrznych. Problem został naprawiony 4 kwietnia 2026 roku; nie jest wymagane działanie ze strony klienta.

Wtyczka SmilePass Selfie Login dla WordPressa do wersji 1.0.2 nie przeprowadza żadnej weryfikacji tożsamości po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom zalogować się jako dowolne zarejestrowane konto, w tym administratorzy.

Wtyczka Social Login & Sharing buttons with Analytics By SoClever dla WordPressa do wersji 1.2.0 nie przeprowadza żadnych kontroli uwierzytelniania, autoryzacji ani nonce w jednym z publicznie dostępnych handlerów logowania, co pozwala nieuwierzytelnionym atakującym uzyskać ważną sesję jako dowolny istniejący użytkownik, w tym administratorzy. W domyślnym przypadku uzyskują sesję jako oryginalne konto administratora bez znajomości jakichkolwiek danych konta.

Wtyczka WP Social Media Login dla WordPressa do wersji 1.0.6 nie weryfikuje, czy logowanie społecznościowe zostało faktycznie zakończone u dostawcy tożsamości przed uwierzytelnieniem odwiedzającego, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny istniejący użytkownik, w tym administratorzy, poprzez podanie adresu e-mail tego użytkownika.

Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Wtyczka Slider Hero with Video Background, Animation dla WordPressa przed wersją 9.1.3 nie posiada kontroli autoryzacji i nonce w dwóch swoich handlerach żądań oraz nie escapuje zapisanej opcji przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie złośliwego JavaScriptu, który będzie wykonany w kontekście administratora przeglądającego panel administracyjny wtyczki, a także każdego odwiedzającego stronę z osadzonym sliderem.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.7 nie egzekwuje konsekwentnie ograniczeń ról nałożonych na formularze rejestracyjne. Użytkownicy z uprawnieniami do tworzenia formularzy mogą skonfigurować taki, który przyznaje rolę administratora każdemu odwiedzającemu, który się przez niego zarejestruje.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje ścieżki przechowywanego pliku przed użyciem go do strumieniowania multimediów. Użytkownicy z rolą instruktora mogą czytać dowolne pliki na serwerze, w tym poza katalogiem głównym witryny. Odczytywalne pliki obejmują plik konfiguracyjny WordPressa, co ujawnia dane uwierzytelniające bazy danych oraz klucze uwierzytelniające i sole, umożliwiając fałszowanie ciasteczek uwierzytelniających.

Wtyczka ManageWP Worker dla WordPressa przed wersją 4.9.37 nie wiąże konta logującego się z podpisem autoryzującym logowanie, ani nie zapobiega ponownemu użyciu już wykorzystanego linku logowania. Atakujący, którzy zdobędą taki link, mogą uzyskać sesję jako dowolny użytkownik witryny, w tym administrator.

Wtyczka Conekta Payment Gateway dla WordPressa przed wersją 6.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook z bramki płatności, ani nie wiąże potwierdzonej płatności z docelowym zamówieniem ani nie weryfikuje jej kwoty. Pozwala to nieuwierzytelnionym atakującym oznaczać dowolne zamówienia jako opłacone bez dokonania płatności.

Wtyczka FiboSearch dla WordPressa przed wersją 1.34.1 nie wyklucza konsekwentnie produktów chronionych hasłem z nieuwierzytelnionych punktów końcowych AJAX. Pozwala to nieuwierzytelnionym użytkownikom ujawniać i enumerować produkty chronione hasłem oraz ich metadane bez podawania hasła. Dotknięte są dwa punkty końcowe: autouzupełnianie (dgwt_wcas_ajax_search) oraz panel szczegółów (dgwt_wcas_result_details) przy zapytaniach o szczegóły taksonomii.

Wtyczka Post Grid, Slider & Carousel Ultimate dla WordPressa przed wersją 1.8.1 nie sanityzuje i nie escapuje jednego z ustawień własnego typu treści przed wypisaniem go w atrybucie HTML na ekranie edycji w panelu administracyjnym. Pozwala to użytkownikom z rolą Współautor i wyższym na wstrzyknięcie JavaScript, który wykonuje się w sesji każdego administratora otwierającego dotknięty element.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie egzekwuje kontroli własności obiektów dla swojego typu treści kursów. Pozwala to każdemu użytkownikowi z rolą instruktora na odczyt treści prywatnych kursów należących do innych instruktorów.

Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać katalog list mailingowych Campaign Monitor, w tym identyfikatory i nazwy list, które powinny być dostępne tylko dla menedżerów.

Wtyczka AutomatorWP dla WordPressa do wersji 5.8.4 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą pobrać wszystkie dane formularzy ConvertKit skonfigurowane przez menedżera witryny, ujawniając szczegóły integracji przeznaczone tylko dla menedżerów.

Wtyczka Themify Builder dla WordPressa do wersji 7.8.0 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Nieuwierzytelnieni atakujący mogą modyfikować dane stylowania (właściwości marginesów i dopełnień) dowolnych postów, w tym prywatnych i szkiców, podając identyfikator posta i dane JSON.

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.

Moduł Tie::Hash::Regex dla Perla przed wersją 2.0.0 rzuca wyjątek przy niepoprawnych kluczach wyszukiwania. Metody FETCH, EXISTS i DELETE rzucają wyjątek, gdy klucz jest nieprawidłowym wyrażeniem regularnym, co może spowodować zakończenie działania aplikacji.