Katalog podatności CVE

Wtyczka Attendance Manager dla WordPress do wersji 0.6.2 jest podatna na iniekcję SQL przez parametr 'attmgr_off'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą dołączać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy.

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 zawiera podatność na Stored XSS przez atrybut 'id' shortcode'u '[print_clmns]'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów, pod warunkiem istnienia co najmniej jednej kolumny utworzonej przez administratora.

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 udostępnia endpoint REST API '/wp-json/InkXEProductDesignerLite/orders' bez autoryzacji, co pozwala nieuwierzytelnionym atakującym na wyodrębnienie wrażliwych danych klientów i zamówień z WooCommerce, w tym imion, nazwisk, identyfikatorów, kwot i statusów zamówień.

Wtyczka WP Blockade dla WordPressa do wersji 0.9.14 włącznie ma brak autoryzacji w funkcji render_shortcode_preview(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych shortcodów WordPressa.

Wtyczka PZ Frontend Manager dla WordPressa w wersjach do 1.0.6 zawiera podatność polegającą na braku autoryzacji w funkcji pzfm_user_request_action_callback(). Funkcja ta, zarejestrowana przez akcję AJAX wp_ajax_pzfm_user_request_action, nie sprawdza uprawnień ani nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym usunięcie dowolnych użytkowników WordPressa, w tym administratorów.

Wtyczka Pinterest Site Verification using Meta Tag dla WordPress w wersjach do 1.8 zawiera podatność na trwałe XSS poprzez parametr 'post_var' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Whole Enquiry Cart for WooCommerce dla WordPress w wersjach do 1.2.1 zawiera podatność na trwałe XSS poprzez parametr 'woowhole_success_msg' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie administratora mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka AM LottiePlayer dla WordPress do wersji 3.6.0 włącznie jest podatna na Stored Cross-Site Scripting przez przesłane pliki SVG z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Autora i wyższym mogą wstrzykiwać dowolne skrypty na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

W bibliotece Ado::Sessions dla Perla do wersji 0.935 generowane są niebezpieczne identyfikatory sesji. Identyfikatory są oparte na funkcji rand(), czasie epoch i PID, co czyni je przewidywalnymi. Ado nie jest już utrzymywane i zostało usunięte z indeksu CPAN.

Amon2::Plugin::Web::CSRFDefender w wersjach 7.00 do 7.03 dla Perla generuje niebezpieczny identyfikator sesji. Funkcja generate_session_id próbuje czytać z /dev/urandom, ale jeśli jest niedostępny, generuje bajty przy użyciu SHA-1 z ziarnem z rand(), PID i czasu epoki. PID pochodzi z małego zestawu, a czas może być odgadnięty. Funkcja rand() nie nadaje się do celów kryptograficznych.

Wtyczka The Plus Addons for Elementor dla WordPressa zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode Progress Bar. Luka wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika. Dotyczy wersji do 6.4.9 włącznie.

Podatność Cross-Site Scripting w MATCHA SNS w wersji 1.3.9 i wcześniejszych. Jeśli zostanie wykorzystana, dowolny skrypt może zostać wykonany w przeglądarce użytkownika odwiedzającego witrynę korzystającą z produktu.

Wtyczka LatePoint dla WordPressa do wersji 5.3.0 zawiera podatność na Stored XSS przez parametr 'button_caption' w shortcode [latepoint_resources]. Atakujący z dostępem na poziomie contributora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Prime Slider dla Elementora do wersji 4.1.10 zawiera podatność na Stored XSS przez ustawienie 'follow_us_text' w widżecie Mount. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala atakującym z dostępem autora lub wyższym na wstrzykiwanie dowolnych skryptów.

Wtyczka LearnPress – WordPress LMS Plugin jest podatna na trwałe XSS przez atrybut 'skin' shortcodu learn_press_courses w wersjach do 4.3.3 włącznie. Niedostateczne oczyszczanie i escapowanie atrybutu 'skin' pozwala uwierzytelnionym atakującym (od poziomu współautora) na wstrzyknięcie dowolnych skryptów.

Brak autoryzacji w pluginie MainWP Child Reports dla WordPressa (do wersji 2.2.6). Uwierzytelnieni atakujący z dostępem Subscriber mogą uzyskać wpisy dziennika aktywności (w tym podsumowania działań, dane użytkownika, adresy IP) poprzez Heartbeat API.

Wtyczka LTL Freight Quotes – R+L Carriers Edition dla WordPress do wersji 3.3.13 włącznie ma brak autoryzacji w handlerze webhook. Nieuwierzytelnieni atakujący mogą modyfikować ustawienia subskrypcji, zmieniając plan płatny na Trial, typ sklepu i daty wygaśnięcia subskrypcji.

Wtyczka Investi dla WordPress do wersji 1.0.26 zawiera podatność na przechowywany XSS przez atrybut 'maximum-num-years' shortcode'a 'investi-announcements-accordion'. Atrybut nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionym atakującym z dostępem współautora na wstrzykiwanie dowolnych skryptów.

Wtyczka TableOn dla WordPressa do wersji 1.0.4.4 zawiera podatność na trwały XSS przez atrybuty shortcode 'class', 'help_link', 'popup_title' i 'help_title'. Atrybuty te nie są odpowiednio oczyszczane ani kodowane przed wstawieniem do HTML-a, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym na wstrzyknięcie dowolnego skryptu.

Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.