Katalog podatności CVE

Wtyczka Multi-Step Forms for Contact Form 7 dla WordPressa w wersjach do 4.7 włącznie jest podatna na odbity cross-site scripting (XSS) poprzez parametr 'l10n_print_after' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku, pod warunkiem że witryna ma co najmniej jeden formularz Contact Form 7 z tagiem [multistep].

Wtyczka Post Snippets dla WordPressa w wersjach do 4.2.4 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez atrybuty shortcode'ów z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami contributor-level mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, pod warunkiem że shortcode'y snippetów są włączone.

Wtyczka Waitlist Woocommerce dla WordPressa w wersjach do 2.9.1 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez atrybut 'type' shortcode'a z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami contributor-level mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Beyondseo dla WordPressa w wersjach do 1.3.6 włącznie pozwala na nieautoryzowany dostęp, ponieważ domyślnie przyznaje roli Contributor uprawnienia rankingcoach_write_* (w tym rankingcoach_write_redirectManager), a endpointy REST modułu weryfikują jedynie to uprawnienie bez sprawdzania uprawnień administratora, własności ani dodatkowego nonce. Uwierzytelniony atakujący z poziomem Contributor może tworzyć, modyfikować lub usuwać przekierowania 301/302 wykonywane dla każdego odwiedzającego, przechwytując dowolne ścieżki, w tym /checkout i /wp-login.

Wtyczka PayPal Brasil para WooCommerce dla WordPressa w wersjach do 1.7.8 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwej weryfikacji, czy użytkownik ma prawo wykonać daną akcję. Nieuwierzytelniony atakujący może wyłączyć lub włączyć bramkę płatności PayPal Brasil BCDC oraz nadpisać jej ustawienia w WooCommerce, usuwając PayPal z kasy dla wszystkich klientów.

Wtyczka WP Inventory Manager dla WordPressa w wersjach do 2.5.5 włącznie jest podatna na czasową iniekcję SQL poprzez atrybut shortcode 'sort_order' z powodu niewystarczającego escapowania parametru użytkownika i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem Contributor może dołączać dodatkowe zapytania SQL i wyodrębniać poufne informacje z bazy danych, wykorzystując shortcode [wpinventory_categories] w wersji roboczej posta renderowanej przez podgląd.

Wtyczka Advanced Custom Fields: Extended dla WordPressa w wersjach do 0.9.2.7 włącznie pozwala na nieautoryzowany dostęp do danych i wywoływanie akcji po stronie serwera z powodu wielu handlerów AJAX zarejestrowanych dla nieuwierzytelnionych użytkowników (wp_ajax_nopriv_*), które nie sprawdzają current_user_can(). Nonce acf_nonce są generowane dla gości i ujawniane w źródle strony, co pozwala nieuwierzytelnionym atakującym ujawnić tytuły postów i wewnętrzne struktury Flexible Content. Podatność została częściowo załatana w wersji 0.9.2.4.

Wtyczka Hustle – Email Marketing, Lead Generation, Optins, Popups dla WordPressa w wersjach do 7.8.14.3 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'content[cta_label]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie custom może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; domyślnie tylko Administratorzy mają uprawnienie hustle_edit_module, ale ekran uprawnień wtyczki pozwala delegować je niższym rolom, w tym Subscriber.

Wtyczka If-So Dynamic Content – Elementor & All Page Builders Personalization dla WordPressa w wersjach do 1.10.2 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'repeater[*][version_uid]' oraz wiele powiązanych pól (freeze-mode, cookie-input, ip-input, compare, utm-value, page-url-compare, group-name, custom) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka CMB2 dla WordPressa w wersjach do 2.13.4 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'cmb43ex1_grp[0][txt]' (pole wysiwyg wewnątrz grupy, którego identyfikator kontroluje konfiguracja integratora) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; podatność jest wykorzystywana tylko wtedy, gdy integrator witryny renderuje udokumentowany helper formularza front-endowego z polem wysiwyg w powtarzalnej grupie na publicznie dostępnej stronie.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na ślepą iniekcję SQL poprzez parametr 'catid' z powodu niewystarczającego escapowania parametru użytkownika i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem Contributor może dołączać dodatkowe zapytania SQL i wyodrębniać poufne informacje z bazy danych, zapisując złośliwy blok przez REST API w oczekującym poście i wyzwalając renderowanie po stronie serwera przez podgląd.

Wtyczka VikRentCar Car Rental Management System dla WordPressa w wersjach do 1.4.10 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'className' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; wp_kses_post() stosowane przy zapisie nie neutralizuje payloadu, ponieważ wstrzyknięcie trafia w kontekst atrybutu HTML, a kodowanie JSON w komentarzu bloku jest dekodowane przez do_blocks() przy renderowaniu.

Wtyczka Clean Login dla WordPressa w wersjach do 1.20.1 włącznie jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji CleanLogin_Shortcode::get_pages_with_shortcodes() podpiętej do akcji save_post. Uwierzytelniony atakujący z poziomem Contributor może nadpisać opcje cl_login_url, cl_login_id, cl_register_url, cl_register_id, cl_restore_url, cl_restore_id, cl_edit_url, cl_edit_id, cl_change_password_url i cl_change_password_id identyfikatorem i permalinkiem własnego posta, po prostu osadzając shortcody wtyczki we własnej treści.

Wtyczka WP Visitor Statistics (Real Time Traffic) dla WordPressa jest podatna na wstrzyknięcie SQL poprzez atrybuty shortcode'u [wsm_showTrafficStatsList] (np. 'from', 'to', 'first', 'second') w wersjach do 8.8 włącznie. Atrybuty nie są odpowiednio escapowane, a surowe wartości są doklejane do zapytania SQL w funkcji fnGetHourlyReportByDateNameTimeZone(). Uwierzytelniony atakujący z poziomem Contributor lub wyższym może dopisywać własne zapytania SQL i wydobywać poufne dane z bazy.

Wtyczka AI ChatBot for WooCommerce – WoowBot dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 5.0.0 włącznie. Z powodu braku weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z poziomem Subscriber lub wyższym może wielokrotnie wywoływać synchronizację dokumentów RAG, co generuje płatne wywołania API do OpenAI, Gemini, OpenRouter lub xAI obciążające klucz API administratora. Prowadzi to do wyczerpania kredytów API i strat finansowych.

Wtyczka Travelly – Tour & Travel Booking Manager for WooCommerce dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 2.3.6 włącznie. Z powodu braku weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z poziomem Contributor lub wyższym może duplikować dowolne posty (w tym prywatne, szkice i oczekujące autorstwa administratorów i edytorów) do własnych szkiców, ujawniając ich treść, tytuł, taksonomie i metadane. Nonce nie jest powiązany z konkretnym postem, co ułatwia atak.

Wtyczka DesignSetGo dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'tagName' we wszystkich wersjach do 2.11.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby administrator uruchomił migrację konwersji bloków („Scan & Convert Blocks” podczas dezaktywacji), co aktywuje podatną funkcję build_group_block().

Wtyczka Bit Flows: AI Agent Automation & Integrations for Forms, CRM, eCommerce, Google Sheets, and More dla WordPressa jest podatna na lokalne włączenie pliku (LFI) we wszystkich wersjach do 1.31.0 włącznie, poprzez parametr 'image' (dowolne pole ciała webhooka przekazywane do węzła ImageHelper). Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, uzyskania poufnych danych lub wykonania kodu. Wykorzystanie wymaga, aby administrator zbudował przepływ wyzwalany webhookiem, który przekazuje pole ciała do węzła ImageHelper imageToBase64, a webhook pozostał w domyślnej konfiguracji (bez sekretu i listy dozwolonych IP).

Wtyczka Mang Board dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'align' we wszystkich wersjach do 2.4.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Ponieważ ładunek nie zawiera nawiasów kątowych, wp_kses_post pozostawia shortcode nienaruszony, co pozwala złośliwej wartości atrybutu przetrwać i wykonać się w przeglądarce każdego przeglądającego, w tym administratora podglądającego oczekujący post.

Wtyczka Rich Showcase for Google Reviews dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 7.1.6 włącznie. Z powodu braku weryfikacji uprawnień użytkownika, uwierzytelniony atakujący z poziomem Contributor lub wyższym może uzyskać 127-znakowy sekret uwierzytelniający grw_auth_code i użyć go do podszycia się pod witrynę WordPress w usłudze backendowej RichPlugins pod adresem app.richplugins.com.