Katalog podatności CVE

Wtyczka Slider Hero dla WordPressa do wersji 9.1.7 włącznie jest podatna na second-order SQL Injection przez funkcję qcld_sliderhero_duplicate(). Dane slajdów są bezpiecznie zapisywane, ale podczas duplikowania suwaka wartości są konkatenowane bez przygotowania, co pozwala administratorom na wstrzyknięcie dodatkowych zapytań SQL i wyodrębnienie wrażliwych danych.

Wtyczka WCPOS – Point of Sale (POS) dla WooCommerce do wersji 1.9.14 włącznie jest podatna na wstrzykiwanie kodu przez silnik szablonów 'thermal'. Uwierzytelnieni atakujący z dostępem na poziomie Shop Managera mogą wstrzykiwać dowolny kod PHP do szablonu, który jest następnie wykonywany na serwerze, co prowadzi do zdalnego wykonania kodu.

Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.108 nie ogranicza funkcji importu migracji do administratorów sieci w instalacjach multisite, co pozwala administratorowi pojedynczej podwitryny na wykonanie dowolnego kodu PHP w całej sieci.

Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa do wersji 4.9.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'id' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Snippet Shortcodes dla WordPressa do wersji 5.2.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybuty shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.4 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'emd_mb_meta'. Tytuły załączników są interpolowane do atrybutów HTML bez odpowiedniego escapowania, co pozwala uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym na wstrzyknięcie dowolnych skryptów.

Wtyczka Toocheke Companion dla WordPressa do wersji 2.10 włącznie jest podatna na przechowywany atak XSS przez pole meta 'series_bg_color'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania listy serii w panelu administracyjnym.

Wtyczka Manual Image Crop dla WordPressa przed wersją 1.15 nie przeprowadza żadnej kontroli uprawnień ani weryfikacji nonce na uwierzytelnionej akcji AJAX przycinającej obrazy; jedyna ochrona działa dla każdego zalogowanego użytkownika. Użytkownik z rolą subskrybenta może podać dowolny identyfikator załącznika i nadpisać wygenerowany obraz pośredni (np. miniaturę) oraz zmienić jego metadane, niezależnie od właściciela. Jest to problem integralności i defacementu w bibliotece multimediów. Akcja nie ma też nonce, więc jest podatna na CSRF.

Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.

Wtyczka ShortPixel Adaptive Images dla WordPressa do wersji 3.11.5 włącznie jest podatna na obejście autoryzacji. Brak właściwego weryfikowania uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację opcji konfiguracyjnych innych wtyczek, takich jak ShortPixel Image Optimizer, Autoptimize, WP Rocket, Imagify i LiteSpeed Cache, a także klucza API i powiązania konta samej wtyczki.

Wtyczka StoreEngine dla WordPressa do wersji 2.1.1 włącznie jest podatna na Directory Traversal przez funkcję parse_file_path. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie sprzedawcy i wyżej odczytanie zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.

Wtyczka Turnkey bbPress by WeaverTheme dla WordPressa do wersji 1.7.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych w funkcji wvrbbp_set_to_serialized_values(). Funkcja odczytuje surową zawartość pliku przesłanego przez administratora i przekazuje ją bezpośrednio do unserialize() bez walidacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej wstrzyknięcie obiektu PHP.

Wykryto słabość w projekcie DefaultFuction Customer-Relationship-Management-In-C-Project 2.0. Dotyczy ona funkcji gets w module wyszukiwania klientów, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Odkryto lukę bezpieczeństwa w DefaultFuction Notice-System-Managent 2.0. Problem dotyczy funkcji GroovyShell.evaluate w pliku /execute komponentu NoticeController, co umożliwia wstrzyknięcie kodu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Wtyczka Frontend Admin by DynamiApps dla WordPressa do wersji 3.29.9 włącznie zawiera podatność na eskalację uprawnień. Wynika to z błędnego warunku w funkcji `ActionUser::conditions_logic()`, który pomija sprawdzenie uprawnień, gdy identyfikator użytkownika jest ciągiem znaków, co pozwala atakującemu na uzyskanie uprawnień administratora.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.

Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.

Wtyczka Kubio AI Page Builder dla WordPressa do wersji 2.8.5 jest podatna na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora nadpisywanie konfiguracji strony głównej, modyfikację menu nawigacji, zastępowanie szablonów i nadpisywanie danych globalnych. Nonce jest dostępny dla każdego użytkownika edytora bloków, co czyni go nieskutecznym.

Wtyczka Podlove Podcast Publisher dla WordPressa do wersji 4.5.3 włącznie zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący z uprawnieniami Contributor mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.