Katalog podatności CVE

Wtyczka WPC Estimated Delivery Date for WooCommerce dla WordPressa w wersjach do 4.0.1 włącznie jest podatna na odbite XSS przez parametr 'rule_data' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Obejście wykorzystuje funkcję strip_shortcodes() WordPressa, która rozwija podwójne nawiasy [[tag]] do postaci [tag], co przetrwa zapis w wp_insert_post i uruchamia się przy renderowaniu publicznego typu postu xs_review przez the_content.

Wtyczka WPMobile.App – Android and iOS App Builder dla WordPressa w wersjach do 11.84 włącznie jest podatna na trwałe XSS przez parametr 'REQUEST_URI (segment ścieżki po /android_json/search/)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Wykorzystanie wymaga skonfigurowania trybu treści aplikacji jako 'webview' (opcja 'speed' nieustawiona na '1').

Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Nonce wymagany do przejścia jedynej bramki jest emitowany do nieuwierzytelnionych odwiedzających przez publiczny formularz recenzji, a przesłane ładunki shortcode'ów są domyślnie automatycznie publikowane bez zatwierdzenia administratora.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa w wersjach do 3.2.1 włącznie jest podatna na trwałe XSS przez atrybut alt awatara i zapis dowolnych metadanych użytkownika z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi wywołać endpoint dismiss_ajax_call (nonce dostępny dla subskrybentów) aby ustawić flagę meta xs_social_profile_image, a następnie ustawić nazwę wyświetlaną na ładunek skryptu.

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie sanityzuje ani nie escapuje niektórych wartości konfiguracji pakietu przed wyświetleniem ich w panelu administracyjnym. Umożliwia to użytkownikom z uprawnieniem tłumacza i wyższym przeprowadzenie ataku Stored Cross-Site Scripting przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie ogranicza ścieżek plików, które mogą być odczytywane przez jej trasy plików tłumaczeń. Umożliwia to użytkownikom z uprawnieniem tłumacza pobranie zawartości niektórych typów plików z dowolnego miejsca na serwerze, w tym spoza katalogu głównego witryny.

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą subskrybenta przeprowadzenie ataków blind SQL injection i odczyt dowolnych danych z bazy danych. Wersja 2.0.18 usunęła dostęp na poziomie subskrybenta, więc od 2.0.18 problem wymaga roli współpracownika lub wyższej.

Wtyczka WordPress Mailchimp for WooCommerce w wersji przed 6.3 nie wymaga uwierzytelnienia, nonce ani sprawdzenia własności przed wykonaniem operacji na rekordzie porzuconego koszyka klienta identyfikowanego na podstawie danych z żądania. Umożliwia to nieuwierzytelnionemu atakującemu modyfikację lub usunięcie zapisanego koszyka innego klienta.

Wtyczka Alt Text AI – Automatically generate image alt text for SEO and accessibility dla WordPressa w wersjach do 1.10.41 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może nadpisać post_content dowolnego postu lub strony tekstem generowanym przez LLM, wpływając na SEO i zużywając płatne kredyty API AltText.ai.

Wtyczka Kubio AI Page Builder dla WordPressa przed wersją 2.9.3 nie weryfikuje schematu URI wartości podanej przez użytkownika przed użyciem jej jako celu linku. Użytkownicy z rolą autora i wyższą mogą przechowywać ładunek, który wykonuje się w przeglądarce każdego, kto kliknie link, w tym administratora podglądającego nieopublikowaną treść.

Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nieprawidłowo obsługuje wartość wyszukiwania przed przepisaniem już przygotowanego zapytania SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection i pobieranie niepublicznych treści, gdy powiązana opcja widgetu jest ustawiona inaczej niż domyślnie.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sanityzuje ścieżek plików wewnątrz przesłanych archiwów przed ich rozpakowaniem, co pozwala uwierzytelnionym użytkownikom z dostępem do funkcji zarządzania zasobami (domyślnie administratorzy, lub edytorzy, gdy włączona jest niestandardowa opcja) na zapisywanie dowolnych plików, w tym wykonywalnych PHP, poza zamierzonym katalogiem przesyłania na serwerach, gdzie rozszerzenie PHP zip jest niedostępne, prowadząc do zdalnego wykonania kodu.

Wtyczka Helpdesk Support Ticket System for WooCommerce dla WordPressa jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) we wszystkich wersjach do 2.1.6 włącznie, poprzez parametr 'id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może usuwać odpowiedzi do zgłoszeń należące do innych użytkowników, podając dowolny identyfikator wiersza stsw_responses.

Wtyczka Calculated Fields Form dla WordPressa jest podatna na odbite XSS oparte na DOM we wszystkich wersjach do 5.5.1.5 włącznie, poprzez parametr 'arbitrary' (nazwy powiązane przez administratora przez url.<name>). Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka WPC Smart Quick View for WooCommerce dla WordPressa jest podatna na odbity XSS we wszystkich wersjach do 4.4.0 włącznie, poprzez parametr 'woosq-redirect'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka WordPress MPG w wersji przed 4.2.3 nie sprawdza, czy źródło zbioru danych podane przy imporcie projektu jest zdalnym adresem URL, zanim potraktuje je jako lokalną ścieżkę w systemie plików i skopiuje plik do publicznie dostępnego katalogu uploads. Umożliwia to użytkownikom z rolą Editor i wyższą odczyt dowolnych plików na serwerze, a skopiowany plik może pobrać nieuwierzytelniony odwiedzający.

Wtyczka SEOPress dla WordPressa jest podatna na przechowywany XSS we wszystkich wersjach do 10.2 włącznie, poprzez parametr 'seopress_google_analytics_matomo_id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie escapuje niektórych ustawień przeglądu recenzji przed wyświetleniem ich w wpisach. Może to pozwolić użytkownikom z rolą tak niską jak autor na przeprowadzenie ataków Stored Cross-Site Scripting, gdy recenzje autorów są włączone.