Katalog podatności CVE

Wtyczka GD Rating System dla WordPressa jest podatna na przechowywane ataki XSS przez argumenty renderowania 'title' i 'url' w AJAX-ie gdrts_live_handler w wersjach do 3.7.1 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nonce wymagany przez AJAX jest publicznie emitowany w bloku JSON na każdej stronie renderującej element oceny.

Wtyczka WordPress TillKit w wersji przed 1.0.5 nie wymaga zmiany zaszyfrowanego, publicznie znanego PIN-u uprzywilejowanego konta POS tworzonego przy aktywacji. Uwierzytelnia publiczny punkt logowania POS wyłącznie na podstawie tego PIN-u, bez sprawdzania tożsamości lub uprawnień, co umożliwia nieuwierzytelnionym atakującym uzyskanie uprzywilejowanej sesji POS i odczyt danych osobowych klientów oraz użytkowników witryny, a także modyfikację danych sklepu.

Wtyczka WordPress SaveTo Wishlist Lite w wersji przed 1.1.5 nie sanityzuje ani nie escapuje parametrów przed użyciem ich w klauzuli ORDER BY zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączenie dodatkowych zapytań SQL i wydobycie wrażliwych informacji z bazy danych.

Wtyczka Kubio AI Page Builder dla WordPressa przed wersją 2.9.3 nie ogranicza rozszerzonego zestawu dozwolonych elementów HTML tylko do kontekstu edytora, przez co szerszy zestaw jest stosowany również podczas filtrowania treści przesyłanych przez nieuwierzytelnionych użytkowników. Pozwala to na przechowywanie znaczników, które skrypt wtyczki wykonuje później w przeglądarce każdego odwiedzającego lub administratora przeglądającego niezatwierdzoną jeszcze treść.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na przechowywane ataki XSS przez parametry powiadomień o rozliczeniach w wersjach do 2.12.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Punkt końcowy IPN akceptuje parametry 'rel' i 'option' bez uwierzytelnienia, walidacji nonce ani weryfikacji podpisu.

Wtyczka GeoDirectory dla WordPressa jest podatna na wstrzykiwanie SQL przez przechowywane współrzędne geograficzne (latitude/longitude) wpisu w wersjach do 2.8.186 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy przez publiczny handler wp_ajax_nopriv_geodir_widget_listings z parametrami set_post i sort_by.

Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.

Wtyczka Magic Tooltips For Contact Form 7 dla WordPressa jest podatna na przechowywane ataki XSS przez parametr 'author' w wersjach do 1.0.34 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak jest możliwy, ponieważ filtr esc_html wtyczki dekoduje payloady zakodowane w encjach HTML z powrotem do żywego HTML.

Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie uniemożliwia nieuwierzytelnionym użytkownikom zapisania spreparowanej treści recenzji, która powoduje błąd krytyczny recenzowanej strony przy każdej kolejnej wizycie. Prowadzi to do trwałego ataku typu denial of service, gdy ustawienia wyświetlania recenzji nigdy nie były zapisywane.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie sprawdza, czy przesłana ocena recenzji jest wartością liczbową, zanim ją zapisze i użyje w operacjach numerycznych przy renderowaniu recenzji. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie błędu krytycznego recenzowanej treści dla wszystkich odwiedzających do czasu usunięcia recenzji (trwały denial of service), gdy recenzje użytkowników są włączone.

Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nieprawidłowo sanityzuje i escapuje recenzje przesyłane przez publiczny formularz recenzji dostępny dla nieuwierzytelnionych odwiedzających. Umożliwia to przeprowadzenie ataków Stored Cross-Site Scripting przeciwko każdemu użytkownikowi, w tym administratorom, przeglądającemu stronę wyświetlającą recenzję, gdy recenzje użytkowników są włączone.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na eskalację uprawnień przez ponowne powiązanie tożsamości kontaktu. Funkcja create_contact w punkcie REST v3 jest chroniona tylko przez uprawnienie add_contacts i przekazuje pełny payload, w tym user_id, do ścieżki upsert, omijając zabezpieczenia właściciela. Pozwala to atakującym z dostępem na poziomie Sales Representative i wyżej na powiązanie kontaktu z ID administratora, a następnie wykorzystanie punktu testowego e-mail v4 do uzyskania sesji administratora.

Wtyczka Real Cookie Banner: GDPR & ePrivacy Cookie Consent dla WordPressa jest podatna na Stored Cross-Site Scripting przez komentarze w wersjach do 5.3.5 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Wykorzystanie wymaga moderacji komentarzy.

Wtyczka ProfilePress dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.17.4 włącznie przez funkcję get_user_profile_structure. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyżej mogą wyodrębnić adresy e-mail, nazwy logowania i daty rejestracji innych użytkowników. Gdy opcja users_can_register jest włączona, niezautentykowani atakujący mogą to wykorzystać przez rejestrację.

Wtyczka Ultimate Member dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'form_id' w wersjach do 2.13.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się, gdy administrator otworzy rekord użytkownika w modalnym oknie wp-admin.

Wtyczka Ultimate Member dla WordPressa jest podatna na obejście autoryzacji w wersjach do 2.13.1 włącznie. Niezautentykowani atakujący mogą przeglądać wartości pól profilu członków z ograniczeniami prywatności, w tym pola tylko dla właściciela, tylko dla członków lub z ograniczeniem roli, poprzez publiczny punkt końcowy wp_ajax_nopriv_um_get_members. Nonce wymagany przez punkt końcowy jest dostępny dla wszystkich odwiedzających.

Formwork przed wersją 2.3.13 zawiera podatność na path traversal w BackupController, która pozwala uwierzytelnionym użytkownikom panelu na odczyt lub usunięcie dowolnych plików. Atakujący z uprawnieniami do pobierania lub usuwania kopii zapasowych mogą użyć zakodowanego w base64 payloadu z backslashami, który omija funkcję basename w PHP na Linuksie, aby uzyskać dostęp do plików poza katalogiem kopii zapasowych.

Silnik transferowy Mooncake przed wersją 0.3.12 zawiera podatność na odczyt poza zakresem w funkcji readString w include/common.h, która pozwala niezautentykowanym atakującym na spowodowanie awarii usługi poprzez wysłanie ramki handshake o zerowej długości. Atakujący mogą połączyć się z portem handshake nasłuchującym na wszystkich interfejsach i wysłać ośmiobajtową ramkę, aby zakończyć proces hostujący, taki jak serwer inferencji SGLang.

PeaZip przed wersją 11.3.0, w nie domyślnej konfiguracji, jest podatny na wstrzykiwanie poleceń systemu operacyjnego przez nazwę pliku w archiwum, ponieważ nieprawidłowo obsługuje sytuację, gdy znak cudzysłowu jest już użyty w ciągu.