Katalog podatności CVE

Podatność Broken Function Level Authorization pozwala uwierzytelnionemu użytkownikowi na wykonanie poleceń pollera po ponownym uruchomieniu. Brak kontroli uprawnień na poziomie funkcji umożliwia dostęp do operacji zastrzeżonych.

Podatność braku autoryzacji w wtyczce myCred (mycred) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.2.

Wtyczka MasterStudy LMS dla WordPress przed wersją 3.7.50 zawiera podatność braku autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentowi, wywołać akcję AJAX stm_lms_send_test_email_ajax bez weryfikacji uprawnień i nonce. Atakujący mogą wywołać ten handler bezpośrednio lub przez CSRF, powodując nieprzechwycony błąd krytyczny PHP, który przy włączonym display_errors ujawnia bezwzględną ścieżkę systemu plików wtyczki.

Wtyczka MasterStudy LMS dla WordPress przed wersją 3.7.50 zawiera podatność przejścia ścieżki (path traversal), która pozwala uwierzytelnionym użytkownikom na poziomie Subskrybenta importować dowolne pliki WXR XML poprzez podanie sekwencji przejścia katalogów w parametrze stm_lms_step przekazywanym do akcji AJAX stm_lms_import_sample_data, która nie ma kontroli uprawnień ani weryfikacji nonce. Atakujący mogą przejść przez system plików, aby odwołać się do osiągalnego pliku WXR i opublikować zawarte w nim wpisy pod własną tożsamością, umożliwiając publikację treści, tytułu, typu i metadanych wybranych przez atakującego.

Podatność braku autoryzacji w wtyczce ShopBuilder – Elementor WooCommerce Builder Addons (shopbuilder) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.4.2.

Podatność braku autoryzacji w wtyczce Profile Builder (profile-builder) firmy Cozmoslabs pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.5.

Podatność braku autoryzacji w wtyczce Page Restriction WordPress (WP) (page-and-post-restriction) firmy miniOrange pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.6.1.

Wtyczka WP User Frontend (weDevs) do wersji 4.3.13 zawiera podatność typu Missing Authorization, polegającą na niewystarczającej kontroli dostępu. Umożliwia to wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WP User Frontend (weDevs) do wersji 4.3.13 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka EventPrime do wersji 4.3.6.0 zawiera podatność typu Authorization Bypass Through User-Controlled Key, umożliwiającą obejście kontroli uprawnień. Może to prowadzić do nadużycia uprawnień.

Wtyczka Gutenberg Blocks by Kadence Blocks (Liquid Web / StellarWP) do wersji 3.8.0.2 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka JetElements For Elementor (Crocoblock) do wersji 2.9.2.6 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka Kit (dawniej ConvertKit) do wersji 3.4.7 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WPFunnels do wersji 3.13.5 zawiera podatność typu Cross-Site Request Forgery (CSRF). Umożliwia ona osobie atakującej wymuszenie na zalogowanym użytkowniku wykonania niechcianych działań.

Wtyczka User Registration (ThemeGrill) do wersji 5.3.0 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka WP ERP (weDevs) do wersji 1.17.10 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka Flash & HTML5 Video (bPlugins) do wersji 2.14.0 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to przechowywane wstrzyknięcie skryptu.

Wtyczka Media Library Assistant do WordPressa (do wersji 3.42) jest podatna na ataki typu DOM-Based Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka pozwala na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka MasterStudy LMS do WordPressa (do wersji 3.7.55) ma lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieautoryzowany użytkownik może wykonywać akcje zastrzeżone dla uprzywilejowanych ról.

Wtyczka WPFunnels do WordPressa (do wersji 3.13.5) zawiera lukę braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć praw.