Katalog podatności CVE

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.1.1 włącznie jest podatna na obejście autoryzacji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie custom-level na odczyt dowolnych metadanych użytkownika i wrażliwych pól, takich jak adres e-mail, role, data rejestracji i wartości user_meta, należących do dowolnego użytkownika, w tym administratorów.

Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa do wersji 7.10.09 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce. Nieuwierzytelnieni atakujący mogą nakłonić administratora do wykonania akcji, która usuwa dowolne opcje WordPressa, w tym krytyczne, takie jak siteurl, home, active_plugins, template i stylesheet, co może spowodować awarię strony lub pełny reset wtyczek i motywów.

Wtyczka Kirki dla WordPressa do wersji 6.1.1 włącznie jest podatna na Directory Traversal przez parametr 'data'. Uwierzytelnieni atakujący z dostępem edytora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, w tym wrażliwe informacje, omijając zabezpieczenie oparte na strpos() poprzez osadzenie sekwencji traversal w URL.

Wtyczka WP Travel Engine dla WordPressa do wersji 6.8.4 włącznie jest podatna na obejście autoryzacji, co pozwala nieuwierzytelnionym atakującym na podgląd prywatnych danych rozliczeniowych rezerwacji, takich jak imię, nazwisko, adres e-mail, adres, miasto i numer telefonu klienta, poprzez powiązanie dowolnego ID rezerwacji z sesją atakującego.

Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Stored Cross-Site Scripting przez akcję AJAX bookly_speed_up_update_addons. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy administrator odwiedzi stronę Diagnostyka → Logi.

Wtyczka Forminator Forms dla WordPressa do wersji 1.55.0.2 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'draft'. Nieuwierzytelnieni atakujący mogą enumerować sekwencyjne ID wpisów i odczytywać zapisane dane formularzy innych użytkowników, w tym imiona, adresy e-mail, numery telefonów i treści wiadomości, gdy funkcja 'Save and Continue' jest włączona.

Wtyczka Infility Global dla WordPressa do wersji 2.15.21 włącznie jest podatna na Stored Cross-Site Scripting przez punkt końcowy /cf7_record. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się dla każdego zalogowanego użytkownika odwiedzającego stronę rekordów.

Wtyczka School Management – Education & Learning ERP dla WordPressa do wersji 5.4 włącznie jest podatna na SQL Injection przez parametr 'order[0][dir]'. Uwierzytelnieni atakujący z dostępem na poziomie custom i wyższym mogą wstrzykiwać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Podatność dotyczy wielu handlerów AJAX, a brak weryfikacji nonce umożliwia ataki CSRF.

Wtyczka User Login History dla WordPressa do wersji 2.1.7 włącznie jest podatna na SQL Injection przez parametr 'blog_id'. Uwierzytelnieni atakujący z dostępem administratora i wyższym mogą wstrzykiwać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy. Podatność jest wykorzystywana tylko w instalacjach multisite.

W systemie Hospital Management System 1.0 od itsourcecode znaleziono podatność SQL Injection w pliku /vieworder.php. Manipulacja argumentem 'delid' pozwala na zdalne wstrzyknięcie SQL. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka Extra Product Options Builder dla WooCommerce przed wersją 1.2.176 nie weryfikuje uprawnień żądającego do pliku przesłanego przez klienta przed jego udostępnieniem, co umożliwia nieuwierzytelnionym użytkownikom, którzy znają nazwę pliku, jego pobranie. Wtyczka zapisuje regułę deny-all w katalogach uploadu, więc ujawnienie następuje tylko na serwerach honorujących tę regułę, takich jak Apache; na domyślnej konfiguracji nginx pliki są już dostępne bezpośrednio.

Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.

Wtyczka WPvivid — Backup, Migration & Staging dla WordPressa przed wersją 0.9.131 nie sanityzuje wartości pochodzącej z nieuwierzytelnionego żądania przed użyciem jej do budowy ścieżki pliku dziennika, co umożliwia atakującemu posiadającemu klucz transferu między witrynami utworzenie pliku dziennika w dowolnym istniejącym katalogu z możliwością zapisu, w tym w katalogu głównym witryny. Nazwa pliku ma stały sufiks, a zawartość to nagłówek dziennika wtyczki, więc tylko lokalizacja pliku jest kontrolowana przez atakującego.

Wtyczka CatFolders Document Gallery & PDF Library dla WordPressa przed wersją 2.0.7 nie posiada kontroli autoryzacji w niektórych punktach końcowych REST API, co pozwala nieuwierzytelnionym użytkownikom na pobieranie tytułu, typu, rozmiaru i adresu URL plików multimedialnych przypisanych do dowolnych folderów, w tym folderów nieopublikowanych w żadnej galerii.

Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.

Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.3 nie sanityzuje i nie escapuje pola quizu przed wyświetleniem go na stronie, a rola instruktora ma możliwość przechowywania niesfiltrowanego HTML, co pozwala takim użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu stronę, w tym administratorom. Dotyczy to standardowych instalacji jednoserwisowych; instalacje multisite lub z zdefiniowaną stałą DISALLOW_UNFILTERED_HTML nie są dotknięte.

Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.

Wtyczka ECS dla WordPressa przed wersją 4.3.10 nie sprawdza własności ani statusu wpisu, gdy jeden z jej dynamicznych źródeł danych repeatera odczytuje wartości pól niestandardowych z identyfikatora wpisu podanego przez użytkownika, co pozwala użytkownikom z rolą przynajmniej współautora (contributor) na odczyt wartości pól niestandardowych i metadanych wpisów, których nie są właścicielami, w tym prywatnych i szkiców.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.7 nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala administratorom na przeprowadzanie ataków SQL injection. W instalacji multisite administrator pojedynczej witryny może odczytać dane należące do całej sieci, do których normalnie nie ma dostępu.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.