Katalog podatności CVE

Wtyczka W3 Total Cache dla WordPressa przed wersją 2.10.6 nie ogranicza kopiowania plików podczas importu mediów do katalogu głównego dokumentu ani nie egzekwuje skutecznego ograniczenia typu pliku, co pozwala użytkownikom z rolą Author lub wyższą na umieszczenie treści, która po uruchomieniu importu przez administratora kopiuje dowolny plik czytelny dla serwera do publicznie dostępnego katalogu, narażając go na nieuwierzytelnione pobranie.

Wtyczka Contest Gallery dla WordPressa przed wersją 33.0.1 nie ogranicza liczby prób w kroku weryfikacji e-maila podczas rejestracji front-end, który opiera się na krótkim numerycznym PIN-ie, co pozwala nieuwierzytelnionym atakującym na brutalne złamanie PIN-u i utworzenie oraz aktywację konta WordPress powiązanego z adresem e-mail, którego nie posiadają, uzyskując uwierzytelnioną sesję.

Wtyczka Booking Package dla WordPressa przed wersją 1.7.30 nie przeprowadza kontroli autoryzacji przed zwróceniem przechowywanych danych rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie danych osobowych innych klientów oraz tokenów anulowania rezerwacji.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji przed eksportem przechowywanych zgłoszeń formularzy, co pozwala nieuwierzytelnionym atakującym na pobranie danych osobowych (imię, e-mail, telefon, adres pocztowy, wiadomość) oraz metadanych płatności wszystkich osób, które wysłały formularz płatności.

Wtyczka Accept PayPal Payments using Contact Form 7 dla WordPressa przed wersją 4.0.7 nie przeprowadza żadnych kontroli autoryzacji ani walidacji żądań w jednej ze swoich akcji AJAX, co pozwala nieuwierzytelnionym atakującym na sfałszowanie przechowywanego statusu transakcji rekordów oraz zapisanie metadanych statusu wtyczki na dowolnych postach.

Wtyczka Portfolio Filter Gallery dla WordPressa przed wersją 2.2.1 nie przeprowadza kontroli autoryzacji per obiekt przed usunięciem załącznika, co pozwala użytkownikom z rolą Contributor i wyższą na trwałe usunięcie niektórych załączników mediów należących do innych użytkowników, w tym administratorów.

Wtyczka Portfolio Filter Gallery dla WordPressa przed wersją 2.2.1 nie przeprowadza odpowiednich kontroli autoryzacji w zestawie akcji AJAX, co pozwala użytkownikom z co najmniej rolą Contributor na odczyt, modyfikację i usuwanie galerii innych użytkowników oraz filtrów galerii na poziomie całej witryny.

Wtyczka GeoDirectory dla WordPressa do wersji 2.8.187 włącznie jest podatna na Local File Inclusion (LFI) przez parametr 'design_type'. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do obejścia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu.

Wtyczka LatePoint dla WordPressa do wersji 5.7.3 włącznie jest podatna na eskalację uprawnień. Brak listy dozwolonych nazw i wartości ustawień oraz brak walidacji roli dla ustawienia 'default_wp_role_for_customer' umożliwia uwierzytelnionym atakującym z uprawnieniem 'settings__edit' (np. agentom) nadpisanie domyślnej roli WordPressa na 'administrator', co powoduje tworzenie nowych kont klientów z pełnymi uprawnieniami administratora.

Wtyczka Post Export Import with Media dla WordPressa jest podatna na podatność Directory Traversal we wszystkich wersjach do 1.17.1 włącznie, poprzez parametr 'file_path'. Uwierzytelniony atakujący z uprawnieniami co najmniej administratora może odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje. Wymaga to przesłania spreparowanego archiwum ZIP zawierającego plik media_metadata.json z sekwencjami przejścia ścieżki w polu file_path, przy jednoczesnym podaniu dozwolonego rozszerzenia pliku docelowego, aby obejść zabezpieczenie wprowadzone w wersji 1.13.2.

Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.12 włącznie jest podatna na przechowywany atak XSS poprzez atrybut Block Font Family. Atak wymaga włączenia opcji "Load Google Fonts Locally", co nie jest domyślną konfiguracją.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie escapuje przechowywanej wartości źródła przekierowania przed wyświetleniem jej w widoku listy administracyjnej, co pozwala użytkownikom, którzy mogą zarządzać przekierowaniami (domyślnie Administratorzy), na przechowywanie JavaScript, który wykonuje się w sesji każdego użytkownika, który później otworzy ten widok, w tym Super Administratora w multisite.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.280 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzenie ataków SQL injection.

Wtyczka WordPress Rank Math SEO w wersji przed 1.0.280 nieprawidłowo weryfikuje typ pliku przesyłanego przez funkcję importu ustawień. Umożliwia to użytkownikom z uprawnieniami administratora przesłanie pliku PHP i uzyskanie zdalnego wykonania kodu.

Wtyczka AI Puffer (dawniej AI Power) dla WordPressa do wersji 2.4.89 włącznie jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem subskrybenta mogą modyfikować globalne ustawienia wyszukiwania semantycznego, które są zarezerwowane dla administratorów.

Wtyczka AI Puffer – Chat. Create. Automate. (dawniej AI Power) dla WordPressa w wersjach do 2.4.89 włącznie jest podatna na obejście autoryzacji. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może modyfikować globalne ustawienia indeksowania i wyszukiwania wektorowego wtyczki (aipkit_training_general_settings i aipkit_indexing_field_settings), wpływając na wszystkich użytkowników. Podatność jest wykorzystywalna tylko gdy administrator przyznał niższej roli dostęp do modułu 'sources' przez Role Manager.

Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.

Wtyczka LifterLMS dla WordPressa do wersji 10.2.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych. Uwierzytelnieni atakujący z uprawnieniem 'edit_course' (np. instruktorzy) mogą wstrzyknąć obiekt PHP, co może prowadzić do usunięcia plików, kradzieży danych lub wykonania kodu, jeśli w witrynie jest zainstalowany plugin lub motyw z łańcuchem POP.

Wtyczka Smart Popup by Supsystic dla WordPressa do wersji 1.13.2 włącznie jest podatna na SQL Injection przez parametr 'sidx'. Brakuje odpowiedniego escapowania i przygotowania zapytań SQL.

Wtyczka JetFormBuilder dla WordPressa do wersji 3.6.6 włącznie jest podatna na Reflected DOM-Based XSS przez parametr nazwy zapytania pasujący do ustawienia query_var presetu. Wymaga to formularza z polem tekstowym skonfigurowanym z query_var Dynamic Preset i odwołaniem makra.