Katalog podatności CVE

Wtyczka Simple Newsletter Plugin – Noptin dla WordPressa do wersji 4.3.10 włącznie jest podatna na przechowywany XSS przez parametr 'noptin_fields[<custom_field_merge_tag>]'. Atak wymaga opublikowanej kampanii z tagiem [[subscriber.*]] i wykorzystuje formularz manage_preferences.

Wtyczka Download Manager dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'not_found' we wszystkich wersjach do 3.3.58 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.

Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.

Wtyczka Filter Everything — WordPress & WooCommerce Filters dla WordPressa jest podatna na odbity atak XSS w wersjach do 1.9.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia w funkcji flrt_elementor_load_more_anchor(). Funkcja odczytuje parametry zapytania z $_SERVER['REQUEST_URI'] przez getFormActionOrFullPageUrl(true), które dekoduje je przez parse_str() i ponownie składa za pomocą build_query() — funkcji rdzenia WordPressa, która NIE koduje ponownie wartości ($urlencode=false). Wynikowy URL, zawierający nieucieczone znaki specjalne, jest wstrzykiwany do atrybutu HTML data-next-page przez preg_replace() bez esc_attr() lub esc_url(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.

Wtyczka Hello Plus dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.7.7 włącznie, z powodu nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym publikowanie własnych szablonów Hello+ header/footer oraz edytowanie (przygotowywanie wersji roboczych) aktualnie aktywnych szablonów należących do użytkowników z wyższymi uprawnieniami.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.

Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.

Wtyczka FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment dla WordPressa jest podatna na ogólny SQL Injection przez warunek wyświetlania formularza FireBox we wszystkich wersjach do 3.1.13 włącznie, z powodu niewystarczającej ucieczki parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Na świeżych instalacjach w wersji 3.1.10 i nowszych wykorzystanie wymaga dostępu na poziomie administratora; jednak na stronach zaktualizowanych z wersji wcześniejszej niż 3.1.10, migracja preserveCampaignRoleAccess() nadaje uprawnienie edit_fireboxes każdej roli, która wcześniej miała edit_posts, zmniejszając minimalny wymagany przywilej do poziomu autora.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPressa jest podatna na odbity atak XSS przez parametr 'inputs (array key)' we wszystkich wersjach do 1.15.48 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.

Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.14 włącznie jest podatna na Reflected Cross-Site Scripting przez parametr 'any attacker-chosen name matching the {get.NAME} placeholder' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby administrator skonfigurował pole Custom HTML na opublikowanym formularzu zawierające SmartCode {get.*} w atrybucie akceptującym URL, takim jak iframe src lub a href.

Wtyczka Table Field Add-on for ACF and SCF dla WordPressa do wersji 1.4.1-RC2 włącznie jest podatna na Stored Cross-Site Scripting przez wartość pola Table Field z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Urządzenie ZTE Z80 Ultra ma defekt weryfikacji uprawnień interfejsu systemowego. Interfejs nie posiada niezbędnej kontroli dostępu, a odpowiednie informacje mogą być odczytane przez refleksyjne wywołanie interfejsu.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'id, wp_user_id' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą nadpisać powiązanie konta WordPress dla dowolnego rekordu personelu Bookly, w tym należącego do administratorów, skutecznie przejmując powiązanie konta pracownika o wyższych uprawnieniach i eskalując przywileje.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na ujawnienie wrażliwych informacji przez klasyczny formularz rezerwacji w kroku Details. Endpoint bookly_render_details jest zarejestrowany dla wp_ajax i wp_ajax_nopriv, moduł nadpisuje csrfTokenValid() aby zawsze zwracał true, a funkcja getCodes() ładuje encję Customer kluczowaną wyłącznie przez podany przez atakującego telefon (lub email) bez wywołania predykatu customerIdentityConfirmed(). Gdy właściciel strony umieścił placeholdery {client_name}, {client_email}, {client_phone} lub {client_note} w tekście informacyjnym kroku Details, dane przechowywanego klienta są podstawiane do zwracanego HTML.

Wtyczka Advanced Classifieds & Directory Pro dla WordPressa do wersji 3.4.4 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'phone' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna tylko na stronach, gdzie włączone jest ustawienie 'Force Bootstrap' i widget 'ACADP Listing Address' jest umieszczony na pasku bocznym wyświetlanym na stronach pojedynczych ogłoszeń; oba warunki nie są domyślne.