Katalog podatności CVE

Wtyczka Bread dla WordPressa w wersjach do 2.9.12 włącznie jest podatna na ujawnienie informacji z powodu braku kontroli uwierzytelniania i autoryzacji w funkcji eksportu ustawień (download_settings), która jest zarejestrowana na hooku plugins_loaded i pozwala na wykonanie na stronach publicznych. Funkcja eksportuje wszystkie ustawienia konfiguracyjne wtyczki, w tym pole protection_password przechowywane w postaci jawnej. Nieuwierzytelniony atakujący może uzyskać hasło ochrony PDF, uzyskując dostęp do endpointu /?export-meeting-list=1.

Wtyczka WP Composer – The Easiest Page Builder dla WordPressa w wersjach do 1.0.5 włącznie jest podatna na przechowywane skrypty cross-site (Stored XSS) poprzez shortcode 'pbwp_raw_shortcode' z powodu dekodowania zawartości zakodowanej w Base64 i wyprowadzania jej bezpośrednio bez sanityzacji lub escapowania. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Kodowanie Base64 pozwala obejść filtrowanie KSES WordPressa podczas zapisu.

Motyw VW Writer Blog dla WordPressa w wersjach do 1.3.8 włącznie jest podatny na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'vw_writer_blog_reset_all_settings'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zresetować wszystkie ustawienia personalizatora motywu do wartości domyślnych.

Wtyczka Ibtana – Ecommerce Product Addons dla WordPressa w wersjach do 0.4.7.7 włącznie jest podatna na nieautoryzowaną modyfikację metadanych wpisów z powodu braku sprawdzenia uprawnień w akcji AJAX 'iepa_use_gt_editor'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może zaktualizować lub usunąć dowolne wpisy metadanych poprzez klucz 'iepa_builder'.

Wtyczka Wow Elements Addons for Elementor w wersjach do 1.11.2 włącznie jest podatna na fałszowanie żądań po stronie serwera (SSRF) z powodu przekazywania danych kontrolowanych przez użytkownika z ustawienia 'Changelog File' bezpośrednio do funkcji wp_remote_get bez odpowiedniej walidacji lub sanityzacji adresu URL. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wykonywać żądania sieciowe do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.

Wtyczka BlockSpare dla WordPressa w wersjach do 4.2.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej logiki w funkcji zwrotnej uprawnień, gdzie użyto operatora AND (&&) zamiast OR (||). Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może obejść kontrole autoryzacji i tworzyć dowolne wpisy.

Wtyczka Metasync dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_instant_indexing_settings(). Funkcja jest podpięta do akcji admin_init i sprawdza jedynie obecność $_POST['submit'], po czym zapisuje dane z $_POST['metasync_post_types'] do opcji 'metasync_options_instant_indexing' bez weryfikacji nonce i bez sprawdzenia uprawnień użytkownika.

Wtyczka Search Atlas SEO dla WordPressa w wersjach do 2.6.23 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą nadpisanie hasła ustawień whitelabel na wartość kontrolowaną przez atakującego.

Wtyczka SSL Zen dla WordPressa w wersjach do 4.7.42 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'host' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność jest wykorzystywana tylko w etapie system_requirements.

Wtyczka Real3D Flipbook Lite dla WordPressa w wersjach do 5.1.1 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez atrybut shortcode 'lightboxtext' oraz inne nieoczyszczone atrybuty obsługiwane przez on_shortcode(). Wartości atrybutów są kopiowane bez zmian do opcji flipbooka i emitowane przez wp_json_encode() w bloku <script type="application/json"> bez flagi JSON_HEX_TAG, co pozwala na wyjście z kontekstu skryptu JSON.

Wtyczka AppMySite dla WordPressa w wersjach do 3.15.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez handler AJAX save_ams_license_key z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Handler nie wykonuje sprawdzenia uprawnień ani weryfikacji nonce.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Podatna gałąź SQL jest uruchamiana tylko, gdy w żądaniu obecny jest co najmniej jeden z parametrów: linked_posts, created_after, created_before, missing_fields, post_id, wartość typu oddzielona przecinkami lub exclude_type.

Wtyczka Create dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'order_by' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Domyślny callback uprawnień endpointu REST to publish_posts, co oznacza, że każdy użytkownik z rolą Author lub wyższą może osiągnąć podatny kod bez dodatkowych warunków.

Wtyczka OTP Login & Register Woocommerce dla WordPressa w wersjach do 2.7.3 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez ustawienie 'fb-config' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, podatność może być wykorzystana do ataku na superadministratora sieci.

Wtyczka PDF Builder for WooCommerce dla WordPressa w wersjach do 2.0.11 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do wykonania danej akcji. Umożliwia to uwierzytelnionym atakującym z rolą Subscriber lub wyższą pobranie numerów faktur, sformatowanych numerów faktur i znaczników czasu utworzenia dla dowolnych zamówień WooCommerce poprzez podanie dowolnych wartości OrderNumber i InvoiceId z nieprawidłowym nonce.

Wtyczka WP Customer Reviews dla WordPressa w wersjach do 3.7.8 włącznie jest podatna na odbity Cross-Site Scripting (XSS) poprzez parametr 'wpcr3_fname' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Mailchimp for WooCommerce dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy żądający użytkownik ma wymagane uprawnienia w callbacku uprawnień dla kilku tras REST API. Pozwala to nieuwierzytelnionym użytkownikom na dostęp do endpointów przeznaczonych dla administratorów i wywołanie trwałej zmiany stanu.

Wtyczka Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit dla WordPressa przed wersją 5.4.7 nie weryfikuje autentyczności webhooka płatności PIX przed aktualizacją statusu zamówienia. Pozwala to nieuwierzytelnionym atakującym oznaczyć oczekujące zamówienie jako opłacone bez dokonania płatności.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.