Katalog podatności CVE

Wtyczka Getwid – Gutenberg Blocks dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez atrybut 'customStyle' bloku Google Maps we wszystkich wersjach do 2.1.3 włącznie. Wynika to z użycia eval() na treści bloku kontrolowanej przez użytkownika w funkcji mapStyles() JavaScript frontendu. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.

Wtyczka WordPress Points and Rewards for WooCommerce w wersji przed 2.10.4 nie weryfikuje deklarowanej kwoty nagrody ani nie ogranicza dostępu do handlera roszczenia Win Wheel. Uwierzytelnieni użytkownicy z rolą Subscriber i wyższą mogą samodzielnie przyznać sobie dowolną, nieograniczoną liczbę punktów lojalnościowych, a przy aktywnej wtyczce portfela — także saldo portfela.

Wtyczka WordPress Subscribe Forms w wersji przed 1.6.3 nie sanityzuje ani nie escapuje jednego z ustawień formularza przed wyświetleniem go na stronie. Uwierzytelnieni użytkownicy z rolą Author i wyższą mogą przeprowadzać ataki Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego stronę z osadzonym formularzem, w tym niezalogowanych gości i administratorów.

Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.

Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.

Wtyczka WordPress WPC Smart Compare for WooCommerce w wersji przed 6.6.1 nie stosuje ochrony hasłem wpisów WordPress przy zwracaniu treści produktu przez handler porównania. Nieuwierzytelnieni użytkownicy mogą odczytać opis produktów chronionych hasłem.

Wtyczka WordPress FluentBoards w wersji przed 2.1.0 nieprawidłowo ogranicza dane członków zwracane przez funkcję publicznej tablicy udostępnianej tokenem. Nieuwierzytelnieni użytkownicy mogą ujawnić adresy e-mail członków udostępnionej tablicy, zazwyczaj w tym administratorów.

Wtyczka WordPress JSM Show Post Metadata w wersji przed 4.9.1 nie escapuje prawidłowo klucza metadanych wpisu przed wyświetleniem go w atrybucie obsługi zdarzenia w meta boxie panelu administracyjnego. Użytkownicy z poziomem współtwórcy i wyższym mogą wstrzyknąć dowolny JavaScript, który wykonuje się w sesji użytkownika o wyższych uprawnieniach przeglądającego dany wpis.

Wtyczka WordPress Product Badge, Label, Countdown Timer for WooCommerce w wersji przed 7.5.2 nie sprawdza, czy produkt jest opublikowany, przed zwróceniem jego szczegółów nieuwierzytelnionym użytkownikom. Mogą oni odczytać tytuł, opis i cenę produktów w wersji roboczej, oczekującej i prywatnej.

Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.

Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.

Wtyczka WordPress Real3D Flipbook w wersji przed 5.4 nie sprawdza uprawnień w kilku akcjach zarządzania flipbookami dostępnych dla zalogowanych użytkowników. Umożliwia to użytkownikom z rolą Author i wyższą usuwanie flipbooków innych użytkowników oraz nadpisywanie globalnych ustawień zarezerwowanych dla administratora, co można wykorzystać do zapisania złośliwego kodu JavaScript.

Wtyczka WordPress Social Commerce for WooCommerce w wersji do 2.5.4 nie posiada kontroli autoryzacji na niektórych endpointach REST API. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację konfiguracji wtyczki oraz stanu synchronizacji produktów.

Wtyczka WordPress Post Grid Gutenberg Blocks w wersji przed 5.0.41 nie sprawdza autoryzacji ani widoczności wpisu w trasie REST API zwracającej klucze pól niestandardowych danego wpisu. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie nazw kluczy pól niestandardowych dowolnych wpisów, w tym prywatnych, szkiców, oczekujących, zaplanowanych i chronionych hasłem.

Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza autoryzacji w jednej ze swoich akcji AJAX. Umożliwia to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, pobranie identyfikatorów i tytułów niepublikowanych list innych użytkowników.

Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza uprawnień w jednej ze swoich akcji AJAX. Umożliwia to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, odczytanie pełnej treści niepublikowanych przepisów.

Wtyczka WordPress HappyAddons for Elementor w wersji przed 3.50.0 nie escapuje wartości ikony w jednym z widżetów przycisku przed umieszczeniem jej w atrybucie HTML. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie atrybutów obsługi zdarzeń wykonujących JavaScript w przeglądarce każdego, kto wyświetli stronę, w tym uprzywilejowanych użytkowników przeglądających treść.

Wtyczka WordPress The Events Calendar w wersji przed 6.17.5 nie sprawdza statusu wpisu powiązanych rekordów przed umieszczeniem ich zapisanych szczegółów w publicznej odpowiedzi REST API. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie zawartości rekordów, które nigdy nie zostały opublikowane.

Wtyczka WordPress Easy Hide Login w wersji przed 1.7 nie egzekwuje w pełni ochrony ukrytego logowania. Umożliwia to nieuwierzytelnionemu atakującemu dotarcie do standardowej strony logowania przez określone parametry żądania resetowania hasła i odzyskanie skonfigurowanego sekretnego sluga logowania z zwróconej strony.