Katalog podatności CVE

Wtyczka School Management – Education & Learning ERP dla WordPressa do wersji 5.4 włącznie jest podatna na SQL Injection przez parametr 'order[0][dir]'. Uwierzytelnieni atakujący z dostępem na poziomie custom i wyższym mogą wstrzykiwać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy. Podatność dotyczy wielu handlerów AJAX, a brak weryfikacji nonce umożliwia ataki CSRF.

Wtyczka User Login History dla WordPressa do wersji 2.1.7 włącznie jest podatna na SQL Injection przez parametr 'blog_id'. Uwierzytelnieni atakujący z dostępem administratora i wyższym mogą wstrzykiwać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy. Podatność jest wykorzystywana tylko w instalacjach multisite.

W systemie Hospital Management System 1.0 od itsourcecode znaleziono podatność SQL Injection w pliku /vieworder.php. Manipulacja argumentem 'delid' pozwala na zdalne wstrzyknięcie SQL. Exploit został publicznie ujawniony i może być wykorzystany.

Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.

Wtyczka Masteriyo LMS dla WordPressa przed wersją 2.3.3 nie sanityzuje i nie escapuje pola quizu przed wyświetleniem go na stronie, a rola instruktora ma możliwość przechowywania niesfiltrowanego HTML, co pozwala takim użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu stronę, w tym administratorom. Dotyczy to standardowych instalacji jednoserwisowych; instalacje multisite lub z zdefiniowaną stałą DISALLOW_UNFILTERED_HTML nie są dotknięte.

Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.

Wtyczka ECS dla WordPressa przed wersją 4.3.10 nie sprawdza własności ani statusu wpisu, gdy jeden z jej dynamicznych źródeł danych repeatera odczytuje wartości pól niestandardowych z identyfikatora wpisu podanego przez użytkownika, co pozwala użytkownikom z rolą przynajmniej współautora (contributor) na odczyt wartości pól niestandardowych i metadanych wpisów, których nie są właścicielami, w tym prywatnych i szkiców.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.

Wtyczka Slider Hero dla WordPressa do wersji 9.1.7 włącznie jest podatna na second-order SQL Injection przez funkcję qcld_sliderhero_duplicate(). Dane slajdów są bezpiecznie zapisywane, ale podczas duplikowania suwaka wartości są konkatenowane bez przygotowania, co pozwala administratorom na wstrzyknięcie dodatkowych zapytań SQL i wyodrębnienie wrażliwych danych.

Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa do wersji 4.9.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'id' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Snippet Shortcodes dla WordPressa do wersji 5.2.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybuty shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.4 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'emd_mb_meta'. Tytuły załączników są interpolowane do atrybutów HTML bez odpowiedniego escapowania, co pozwala uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym na wstrzyknięcie dowolnych skryptów.

Wtyczka Toocheke Companion dla WordPressa do wersji 2.10 włącznie jest podatna na przechowywany atak XSS przez pole meta 'series_bg_color'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania listy serii w panelu administracyjnym.

Wtyczka Manual Image Crop dla WordPressa przed wersją 1.15 nie przeprowadza żadnej kontroli uprawnień ani weryfikacji nonce na uwierzytelnionej akcji AJAX przycinającej obrazy; jedyna ochrona działa dla każdego zalogowanego użytkownika. Użytkownik z rolą subskrybenta może podać dowolny identyfikator załącznika i nadpisać wygenerowany obraz pośredni (np. miniaturę) oraz zmienić jego metadane, niezależnie od właściciela. Jest to problem integralności i defacementu w bibliotece multimediów. Akcja nie ma też nonce, więc jest podatna na CSRF.

Wtyczka WC Vendors dla WordPressa do wersji 2.7.0 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'status'. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie menedżera sklepu i wyżej dołączanie dodatkowych zapytań SQL, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.

Wtyczka ShortPixel Adaptive Images dla WordPressa do wersji 3.11.5 włącznie jest podatna na obejście autoryzacji. Brak właściwego weryfikowania uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację opcji konfiguracyjnych innych wtyczek, takich jak ShortPixel Image Optimizer, Autoptimize, WP Rocket, Imagify i LiteSpeed Cache, a także klucza API i powiązania konta samej wtyczki.

Wtyczka StoreEngine dla WordPressa do wersji 2.1.1 włącznie jest podatna na Directory Traversal przez funkcję parse_file_path. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie sprzedawcy i wyżej odczytanie zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.

Wtyczka Turnkey bbPress by WeaverTheme dla WordPressa do wersji 1.7.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych w funkcji wvrbbp_set_to_serialized_values(). Funkcja odczytuje surową zawartość pliku przesłanego przez administratora i przekazuje ją bezpośrednio do unserialize() bez walidacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej wstrzyknięcie obiektu PHP.

Wykryto słabość w projekcie DefaultFuction Customer-Relationship-Management-In-C-Project 2.0. Dotyczy ona funkcji gets w module wyszukiwania klientów, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.