Katalog podatności CVE

Motyw Divi dla WordPressa przed wersją 5.9.0 nieprawidłowo escapuje niektóre ustawienia modułu Social Media Follow przed wyświetleniem ich w atrybutach linków, co pozwala użytkownikom z rolą co najmniej współautora (contributor) na przechowywanie JavaScript, który wykona się, gdy użytkownik z wyższymi uprawnieniami, np. administrator, wyświetli wpis.

Wtyczka Turnkey bbPress by WeaverTheme dla WordPressa do wersji 1.7.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych w funkcji wvrbbp_set_to_serialized_values(). Funkcja odczytuje surową zawartość pliku przesłanego przez administratora i przekazuje ją bezpośrednio do unserialize() bez walidacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej wstrzyknięcie obiektu PHP.

Wykryto słabość w projekcie DefaultFuction Customer-Relationship-Management-In-C-Project 2.0. Dotyczy ona funkcji gets w module wyszukiwania klientów, co prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Odkryto lukę bezpieczeństwa w DefaultFuction Notice-System-Managent 2.0. Problem dotyczy funkcji GroovyShell.evaluate w pliku /execute komponentu NoticeController, co umożliwia wstrzyknięcie kodu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.

Wtyczka Kubio AI Page Builder dla WordPressa do wersji 2.8.5 jest podatna na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora nadpisywanie konfiguracji strony głównej, modyfikację menu nawigacji, zastępowanie szablonów i nadpisywanie danych globalnych. Nonce jest dostępny dla każdego użytkownika edytora bloków, co czyni go nieskutecznym.

Wtyczka Fullscreen Galleria dla WordPressa do wersji 1.6.12 jest podatna na ogólną iniekcję SQL przez atrybut 'href' w treści posta. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.2.1 jest podatna na ogólną iniekcję SQL przez opcję 'randon_category'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Wtyczka Serious Slider dla WordPressa do wersji 1.4.0 jest podatna na przechowywany atak XSS przez atrybut 'theme' w shortcode. Brak odpowiedniej sanityzacji i escapowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu strony.

Wtyczka NEX-Forms dla WordPressa do wersji 9.2.4 jest podatna na ogólną iniekcję SQL przez parametr 'additional_params'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie administratora dołączanie dodatkowych zapytań SQL. Jest to podatność drugiego rzędu, wyzwalana podczas eksportu CSV.

Wtyczka WC Product Table Lite dla WordPressa do wersji 5.6.0 jest podatna na iniekcję CSS przez atrybut 'laptop_scroll_offset' w shortcode, dostępny przez nieuwierzytelniony handler AJAX. Brak walidacji wartości i escapowania CSS umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych reguł CSS, co może prowadzić do wycieku danych, UI redressing i phishingu.

Wtyczka Loco Translate dla WordPressa do wersji 2.8.7 jest podatna na przechowywany atak XSS przez komentarze wyodrębnione z plików PO. Brak odpowiedniej sanityzacji i escapowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie tłumacza wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu strony.

Wtyczka Advanced File Manager dla WordPressa do wersji 5.4.12 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'soundFile' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Niezautoryzowani atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Wymaga to kontroli domeny z prefiksem pasującym do backendu oraz odwiedzenia strony przez administratora z otwartym menedżerem plików.

Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.6.12.10 włącznie jest podatna na Insecure Direct Object Reference przez parametr ssa_past_appointments z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą uzyskać dostęp do rekordów wizyt innych użytkowników, w tym tokenów własności (32-znakowe hashe) i pełnych danych osobowych (PII). Endpoint REST jest zarejestrowany bezwarunkowo i wymaga tylko uprawnień edit_posts.

Wtyczka Everest Forms dla WordPressa do wersji 3.5.2 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Uwierzytelnieni atakujący z delegowanym dostępem do zarządzania formularzami mogą aktywować dowolne już zainstalowane wtyczki WordPress, w tym wcześniej dezaktywowane lub podatne, bez posiadania uprawnienia activate_plugins. Wymaga to posiadania jednej z delegowanych zdolności Everest Forms, które administrator może przypisać nie-administratorom.

Wtyczka Bookly dla WordPressa do wersji 27.7 włącznie jest podatna na Insecure Direct Object Reference w metodzie appointment() API Mobile Staff Cabinet. Obsługa ładuje wizytę na podstawie parametru id bez weryfikacji, czy staff_id wizyty odpowiada uwierzytelnionemu pracownikowi. Uwierzytelnieni atakujący z dostępem do mobilnego panelu pracownika mogą odczytać szczegóły wizyt innych pracowników, w tym notatki i dane klientów, poprzez enumerację identyfikatorów.

Wtyczka Gravity Booster dla WordPressa do wersji 5.26 włącznie jest podatna na Stored Cross-Site Scripting przez ustawienia administratora z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami redaktora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych i tych, gdzie wyłączono unfiltered_html.

Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka PPWP dla WordPressa do wersji 1.9.20 włącznie jest podatna na Insecure Direct Object Reference przez akcję AJAX ppw_free_set_password z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą zaktualizować hasło dowolnego chronionego posta i uzyskać dostęp do jego treści.

Wtyczka Admin Custom Login dla WordPressa do wersji 3.6.4 włącznie jest podatna na Stored Cross-Site Scripting przez ustawienia administratora z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami administratora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych i tych, gdzie wyłączono unfiltered_html.