Katalog podatności CVE

Wtyczka Wavr dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode `wave`. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Podatność na Stored Cross-Site Scripting we wtyczce Inquiry Form to Posts or Pages dla WordPressa w wersjach do 1.0 włącznie. Pole 'Form Header' jest niewystarczająco sanityzowane podczas zapisu i nie jest odpowiednio kodowane przy wyświetlaniu. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć dowolne skrypty, które wykonają się na stronie ustawień wtyczki lub na stronach z shortcodem [inquiry_form].

Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.

Wtyczka Sports Club Management dla WordPress do wersji 1.12.9 zawiera podatność na przechowywany XSS przez atrybuty 'before' i 'after' shortcode'a scm_member_data. Uwierzytelnieni atakujący z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Quran Translations dla WordPressa do wersji 1.7 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brak weryfikacji nonce w funkcji quran_playlist_options() umożliwia nieuwierzytelnionemu atakującemu modyfikację ustawień wtyczki poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.

Wtyczka Attendance Manager dla WordPress do wersji 0.6.2 jest podatna na iniekcję SQL przez parametr 'attmgr_off'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą dołączać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy.

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 zawiera podatność na Stored XSS przez atrybut 'id' shortcode'u '[print_clmns]'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów, pod warunkiem istnienia co najmniej jednej kolumny utworzonej przez administratora.

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 udostępnia endpoint REST API '/wp-json/InkXEProductDesignerLite/orders' bez autoryzacji, co pozwala nieuwierzytelnionym atakującym na wyodrębnienie wrażliwych danych klientów i zamówień z WooCommerce, w tym imion, nazwisk, identyfikatorów, kwot i statusów zamówień.

Wtyczka WP Blockade dla WordPressa do wersji 0.9.14 włącznie ma brak autoryzacji w funkcji render_shortcode_preview(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych shortcodów WordPressa.

Wtyczka PZ Frontend Manager dla WordPressa w wersjach do 1.0.6 zawiera podatność polegającą na braku autoryzacji w funkcji pzfm_user_request_action_callback(). Funkcja ta, zarejestrowana przez akcję AJAX wp_ajax_pzfm_user_request_action, nie sprawdza uprawnień ani nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym usunięcie dowolnych użytkowników WordPressa, w tym administratorów.

W bibliotece Ado::Sessions dla Perla do wersji 0.935 generowane są niebezpieczne identyfikatory sesji. Identyfikatory są oparte na funkcji rand(), czasie epoch i PID, co czyni je przewidywalnymi. Ado nie jest już utrzymywane i zostało usunięte z indeksu CPAN.

Amon2::Plugin::Web::CSRFDefender w wersjach 7.00 do 7.03 dla Perla generuje niebezpieczny identyfikator sesji. Funkcja generate_session_id próbuje czytać z /dev/urandom, ale jeśli jest niedostępny, generuje bajty przy użyciu SHA-1 z ziarnem z rand(), PID i czasu epoki. PID pochodzi z małego zestawu, a czas może być odgadnięty. Funkcja rand() nie nadaje się do celów kryptograficznych.

Wtyczka The Plus Addons for Elementor dla WordPressa zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode Progress Bar. Luka wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika. Dotyczy wersji do 6.4.9 włącznie.

Wtyczka LearnPress – WordPress LMS Plugin jest podatna na trwałe XSS przez atrybut 'skin' shortcodu learn_press_courses w wersjach do 4.3.3 włącznie. Niedostateczne oczyszczanie i escapowanie atrybutu 'skin' pozwala uwierzytelnionym atakującym (od poziomu współautora) na wstrzyknięcie dowolnych skryptów.

Brak autoryzacji w pluginie MainWP Child Reports dla WordPressa (do wersji 2.2.6). Uwierzytelnieni atakujący z dostępem Subscriber mogą uzyskać wpisy dziennika aktywności (w tym podsumowania działań, dane użytkownika, adresy IP) poprzez Heartbeat API.

Wtyczka LTL Freight Quotes – R+L Carriers Edition dla WordPress do wersji 3.3.13 włącznie ma brak autoryzacji w handlerze webhook. Nieuwierzytelnieni atakujący mogą modyfikować ustawienia subskrypcji, zmieniając plan płatny na Trial, typ sklepu i daty wygaśnięcia subskrypcji.

Wtyczka Investi dla WordPress do wersji 1.0.26 zawiera podatność na przechowywany XSS przez atrybut 'maximum-num-years' shortcode'a 'investi-announcements-accordion'. Atrybut nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionym atakującym z dostępem współautora na wstrzykiwanie dowolnych skryptów.

Wtyczka TableOn dla WordPressa do wersji 1.0.4.4 zawiera podatność na trwały XSS przez atrybuty shortcode 'class', 'help_link', 'popup_title' i 'help_title'. Atrybuty te nie są odpowiednio oczyszczane ani kodowane przed wstawieniem do HTML-a, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym na wstrzyknięcie dowolnego skryptu.

Wtyczka Gravity Forms dla WordPress w wersjach do 2.9.30 włącznie jest podatna na Reflected XSS przez parametr `form_ids` w akcji AJAX `gform_get_config`. Wynika to z metody `GFCommon::send_json()`, która wypisuje dane JSON w komentarzach HTML z nagłówkiem `Content-Type: text/html` zamiast `application/json`. Funkcja `wp_json_encode()` nie koduje znaków < i > w wartościach JSON, co pozwala na wstrzyknięcie znaczników HTML/script. Nonce `config_nonce` jest generowany z `wp_create_nonce('gform_config_ajax')` i jest publicznie osadzony na każdej stronie z formularzem Gravity Forms, co czyni go identycznym dla wszystkich nieuwierzytelnionych odwiedzających w ciągu 12-godzinnego ticka nonce. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Podatność nie działa przeciwko uwierzytelnionym użytkownikom.

Wtyczka Download Monitor dla WordPressa do wersji 5.1.10 włącznie jest podatna na Cross-Site Request Forgery (CSRF) w funkcjach actions_handler() i bulk_actions_handler(). Brak weryfikacji nonce umożliwia nieuwierzytelnionemu atakującemu usunięcie, wyłączenie lub włączenie zatwierdzonych ścieżek pobierania poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.