Katalog podatności CVE

Wtyczka Contest Gallery dla WordPressa przed wersją 33.0.1 nie ogranicza liczby prób w kroku weryfikacji e-maila podczas rejestracji front-end, który opiera się na krótkim numerycznym PIN-ie, co pozwala nieuwierzytelnionym atakującym na brutalne złamanie PIN-u i utworzenie oraz aktywację konta WordPress powiązanego z adresem e-mail, którego nie posiadają, uzyskując uwierzytelnioną sesję.

Wtyczka Booking Package dla WordPressa przed wersją 1.7.30 nie przeprowadza kontroli autoryzacji przed zwróceniem przechowywanych danych rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie danych osobowych innych klientów oraz tokenów anulowania rezerwacji.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji przed eksportem przechowywanych zgłoszeń formularzy, co pozwala nieuwierzytelnionym atakującym na pobranie danych osobowych (imię, e-mail, telefon, adres pocztowy, wiadomość) oraz metadanych płatności wszystkich osób, które wysłały formularz płatności.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji ani walidacji żądań w jednej ze swoich akcji AJAX, co pozwala nieuwierzytelnionym atakującym na sfałszowanie przechowywanego statusu transakcji rekordów oraz zapisanie metadanych statusu wtyczki na dowolnych postach.

Wtyczka Portfolio Filter Gallery dla WordPressa przed wersją 2.2.1 nie przeprowadza odpowiednich kontroli autoryzacji w zestawie akcji AJAX, co pozwala użytkownikom z co najmniej rolą Contributor na odczyt, modyfikację i usuwanie galerii innych użytkowników oraz filtrów galerii na poziomie całej witryny.

Wtyczka Post Export Import with Media dla WordPressa jest podatna na podatność Directory Traversal we wszystkich wersjach do 1.17.1 włącznie, poprzez parametr 'file_path'. Uwierzytelniony atakujący z uprawnieniami co najmniej administratora może odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje. Wymaga to przesłania spreparowanego archiwum ZIP zawierającego plik media_metadata.json z sekwencjami przejścia ścieżki w polu file_path, przy jednoczesnym podaniu dozwolonego rozszerzenia pliku docelowego, aby obejść zabezpieczenie wprowadzone w wersji 1.13.2.

Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.12 włącznie jest podatna na przechowywany atak XSS poprzez atrybut Block Font Family. Atak wymaga włączenia opcji "Load Google Fonts Locally", co nie jest domyślną konfiguracją.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków SQL injection.

Wtyczka Smart Popup by Supsystic dla WordPressa do wersji 1.13.2 włącznie jest podatna na SQL Injection przez parametr 'sidx'. Brakuje odpowiedniego escapowania i przygotowania zapytań SQL.

Wtyczka JetFormBuilder dla WordPressa do wersji 3.6.6 włącznie jest podatna na Reflected DOM-Based XSS przez parametr nazwy zapytania pasujący do ustawienia query_var presetu. Wymaga to formularza z polem tekstowym skonfigurowanym z query_var Dynamic Preset i odwołaniem makra.

Wtyczka HivePress dla WordPressa do wersji 1.7.31 włącznie jest podatna na przechowywany XSS przez parametr 'custom text attribute'. Wymaga to skonfigurowania atrybutu tekstowego z formatem wyświetlania umieszczającym token %value% wewnątrz atrybutu HTML.

Wtyczka Simple Newsletter Plugin – Noptin dla WordPressa do wersji 4.3.10 włącznie jest podatna na przechowywany XSS przez parametr 'noptin_fields[<custom_field_merge_tag>]'. Atak wymaga opublikowanej kampanii z tagiem [[subscriber.*]] i wykorzystuje formularz manage_preferences.

Wtyczka Download Manager dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'not_found' we wszystkich wersjach do 3.3.58 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony.

Wtyczka FV Flowplayer Video Player dla WordPressa jest podatna na przechowywany atak XSS przez niecytowany atrybut shortcode'u popup we wszystkich wersjach do 7.5.54.7212 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga włączenia opcji profile_videos_enable_bio, ponieważ wykonanie skryptu następuje na stronie bio/archiwum autora, gdzie renderowany jest shortcode profilowego wideo.

Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.

Wtyczka Filter Everything — WordPress & WooCommerce Filters dla WordPressa jest podatna na odbity atak XSS w wersjach do 1.9.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia w funkcji flrt_elementor_load_more_anchor(). Funkcja odczytuje parametry zapytania z $_SERVER['REQUEST_URI'] przez getFormActionOrFullPageUrl(true), które dekoduje je przez parse_str() i ponownie składa za pomocą build_query() — funkcji rdzenia WordPressa, która NIE koduje ponownie wartości ($urlencode=false). Wynikowy URL, zawierający nieucieczone znaki specjalne, jest wstrzykiwany do atrybutu HTML data-next-page przez preg_replace() bez esc_attr() lub esc_url(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.

Wtyczka Hello Plus dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.7.7 włącznie, z powodu nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym publikowanie własnych szablonów Hello+ header/footer oraz edytowanie (przygotowywanie wersji roboczych) aktualnie aktywnych szablonów należących do użytkowników z wyższymi uprawnieniami.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.

Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.