Katalog podatności CVE

Wtyczka WordPress OTP Login & Register Woocommerce w wersji przed 2.7.3 nie ogranicza odpowiednio liczby prób weryfikacji jednorazowego hasła, ponieważ limit prób jest śledzony na podstawie wartości dostarczanej przez klienta, którą można dowolnie zmieniać. Umożliwia to nieuwierzytelnionemu atakującemu obejście limitu i brute-force krótkiego numerycznego kodu logowania w celu przejęcia konta bez znajomości hasła.

Wtyczka WordPress Smush w wersji przed 4.3.4 nie ogranicza zmian ogólnosieciowego ustawienia dostępu do administratorów sieci. Umożliwia to administratorowi pojedynczej witryny w sieci multisite zmianę tego ustawienia dla całej sieci.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie weryfikuje poprawnie autentyczności żądań REST API i odrzuca sprawdzanie nonce WordPressa dla sesji uwierzytelnionych za pomocą plików cookie w całym REST API. Umożliwia to nieuwierzytelnionym atakującym, którzy nakłonią zalogowanego administratora do kliknięcia spreparowanego linku, sfałszowanie żądań w przeglądarce tego administratora, aż do utworzenia nowego konta administratora.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie sprawdza poprawnie autoryzacji przed utworzeniem rezerwacji i ufa identyfikatorowi użytkownika oraz statusowi rezerwacji dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym tworzenie rezerwacji przypisanych do dowolnych użytkowników, nadpisywanie ich danych kontaktowych oraz oznaczanie rezerwacji jako opłaconych lub potwierdzonych bez dokonywania płatności.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie generuje tokenów dostępu do API rezerwacji z bezpiecznego źródła losowego, zamiast tego wyprowadzając je z wartości zakodowanej na stałe we wtyczce oraz sekundy, w której token został wydany. Atakujący mogący ograniczyć czas wydania tokenu pracownika lub administratora może obliczyć prawidłowy token i uzyskać dostęp do API rezerwacji jako ten użytkownik, w tym administrator.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.3 nie ogranicza kilku swoich tras REST API rezerwacji do użytkowników z odpowiednimi uprawnieniami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, odczytanie wszystkich rekordów rezerwacji klientów, w tym ich danych osobowych.

Wtyczka WordPress MB Custom Post Types & Custom Taxonomies w wersji przed 2.12.2 nie sprawdza uprawnień ani nie weryfikuje nonce w akcjach migracji. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, uruchomić jednokierunkową migrację, która tworzy opublikowane rekordy i trwale usuwa całą konfigurację typów treści i taksonomii wtyczki.

Wtyczka WP Mail Logging dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.17.0 włącznie poprzez parametr 'email_address'. Uwierzytelniony atakujący z uprawnieniami administratora może wyodrębnić pełne wiersze dziennika poczty należące do innych użytkowników, w tym adresy odbiorców, tematy wiadomości, pełne treści wiadomości oraz zawarte w nich adresy URL, których adresy pasują do wzorca wieloznacznego. Wykorzystanie wymaga, aby administrator przetworzył żądanie eksportu danych osobowych dla adresu e-mail atakującego, a adres ten musi zawierać znak wieloznaczny LIKE (np. podkreślenie) pasujący do co najmniej jednego innego adresu w dzienniku poczty.

Wtyczka HivePress – Business Directory, Listings & Classified Ads dla WordPressa (wersje do 1.7.32 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'message' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się w przeglądarce ofiary w momencie udanego logowania przez formularz na stronie ogłoszenia atakującego.

Wtyczka WSP MCP AI Agents Connector dla WordPressa (wersje do 2.9.5 włącznie) jest podatna na ujawnienie poufnych informacji, ponieważ narzędzie wsp_get_posts nie wymaga odpowiednich uprawnień, a endpoint MCP akceptuje każdego zalogowanego użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta może odczytać tytuły, adresy URL, autorów, kategorie, tagi i 40-wyrazowe fragmenty wszystkich niepublikowanych postów.

Wtyczka HivePress dla WordPressa (wersje do 1.7.32 włącznie) jest podatna na przechowywany XSS przez parametr '<custom user attribute slug>' (np. hp_custom_link). Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Wymaga skonfigurowania atrybutu użytkownika z szablonem display_format umieszczającym %value% w atrybucie href, src lub style.

Wtyczka Photo Engine (Media Organizer & Lightroom) dla WordPressa (wersje do 6.5.6 włącznie) jest podatna na obejście autoryzacji, ponieważ nie weryfikuje poprawnie uprawnień użytkownika. Nieuwierzytelniony atakujący może trwale usunąć dowolne załączniki multimedialne i przesłać nowe pliki; użytkownik z poziomem subskrybenta może uzyskać token wplr_auth_token i wykonać destrukcyjne akcje.

Wtyczka TranslatePress dla WordPressa (wersje do 3.3.7 włącznie) jest podatna na przechowywany XSS przez parametr 'comment'. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Wymaga zezwolenia na nieumoderowane komentarze i skonfigurowania drugiego języka.

Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień przed wyświetleniem danych ostatnich zgłoszeń formularzy w widżecie pulpitu. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) odczytać dane kontaktowe przesłane przez innych użytkowników, w tym imiona, adresy e-mail, tytuły formularzy i znaczniki czasu.

Wtyczka WordPress Visual Form Builder w wersji do 3.1 włącznie nie sprawdza uprawnień ani nonce przy zmianie kolejności pól formularza. Pozwala to każdemu zalogowanemu użytkownikowi (subskrybent i wyżej) zmienić strukturę pól dowolnego formularza w witrynie, trwale psując jego publiczne wyświetlanie.

Wtyczka WP Compress – Instant Performance & Speed Optimization dla WordPressa w wersjach do 7.25.00 włącznie jest podatna na eskalację uprawnień. Dyspozytor 'start_comms' sprawdza jedynie klucz API bez weryfikacji uprawnień WordPressa i nonce, a następnie zapisuje niezwalidowane parametry do opcji WPS_IC_SETTINGS, co pozwala nieuwierzytelnionemu atakującemu nadać dowolnej roli uprawnienie 'manage_wpc_settings'.

Wtyczka Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 3.7.4 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, jednak bez łańcucha POP w podatnej wtyczce nie ma to bezpośredniego wpływu.

W cifs-utils występuje luka pozwalająca nieuprzywilejowanemu lokalnemu użytkownikowi na podniesienie uprawnień. Gdy uprzywilejowana usługa montuje udział CIFS przy użyciu pliku poświadczeń kontrolowanego przez użytkownika, wartości wejściowe nie są odpowiednio sanityzowane przed użyciem w opcjach montowania. Atakujący może wstrzyknąć nieautoryzowane opcje montowania, omijając kontrolę uprawnień i wykonując pliki z uprawnieniami roota.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection na witrynach, które uruchamiają również dodatek WCFM Delivery.