Katalog podatności CVE

Wtyczka Simply Schedule Appointments dla WordPressa (wersje do 1.6.12.35 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'status' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa (wersje do 3.5.54 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez przesyłanie plików z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka 10Web Booster dla WordPressa (wersje do 2.34.5 włącznie) jest podatna na ograniczony zapis plików poprzez path traversal. Nieuwierzytelniony atakujący może tworzyć dowolne katalogi poza katalogiem cache i zapisywać w nich zbuforowane strony, co prowadzi do zatrucia cache i tworzenia katalogów.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'type' we wszystkich wersjach do 3.0.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Filtr wp_kses_post nie usuwa ładunku, ponieważ znaki nawiasów kątowych nie są wymagane, co pozwala niezabezpieczonej wartości atrybutu przetrwać zapis i uruchomić się jako aktywny handler zdarzeń w gałęzi renderowania dla niezalogowanych gości.

Wtyczka User Profile Builder dla WordPressa (wersje do 4.0.3 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole First Name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy w Profile Builder włączona jest funkcja potwierdzania adresu e-mail.

Wtyczka SQL Chart Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr wartości kolumny osi X we wszystkich wersjach do 3.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to, aby administrator opublikował wykres, którego zapytanie SQL zwraca kolumnę kontrolowaną przez użytkownika o niższych uprawnieniach, np. wp_users.display_name, którą subskrybent może wypełnić ładunkiem poprzez standardową stronę profilu WordPress.

Wtyczka Broken Link Checker dla WordPress w wersjach do 2.4.14.1 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, jeśli przesłany komentarz zawierający payload w atrybucie href lub src zostanie zatwierdzony przez normalny proces moderacji komentarzy; po zatwierdzeniu shortcode jest wykonywany automatycznie przez WP-Cron.

Wtyczka Nexter Extension dla WordPressa (wersje do 4.7.11 włącznie) jest podatna na eskalację uprawnień. Handler /?reset-view w funkcji role_switcher_to_view_admin_as() nie sprawdza nonce ani uprawnień, a mechanizm czyszczenia oparty na hooku profile_update nie uruchamia się przy masowej zmianie roli przez wp-admin/users.php?action=promote, pozostawiając nieaktualną wartość 'administrator' w metadanych użytkownika.

Wtyczka Mail Mint dla WordPress w wersjach do 1.31.4 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 'filters' endpointu REST /wp-json/mrm/v1/segments/contacts. Brak wystarczającego escapowania wartości filtra przed dołączeniem jej do zapytania SQL w SegmentFilterService::get_meta_join_query() (linia 797) — wartość jest interpolowana do fragmentu WHERE w kontekście numerycznym (bez cudzysłowów), a otaczające wywołania $wpdb->prepare() nie obejmują wstrzykniętej wartości.

Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.

Wtyczka Klarna for WooCommerce dla WordPressa (wersje do 4.13.3 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może uzyskać dostęp do klucza order_key oraz pełnych danych osobowych rozliczeniowych i wysyłkowych (imię, nazwisko, e-mail, telefon, adres, kod pocztowy, miasto, region, kraj) dowolnego zamówienia, które są ujawniane w zmiennej JavaScript klarna_payments_params.

Wtyczka Bulk Page Generator – LPagery dla WordPress w wersjach do 3.1.0 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może tworzyć, modyfikować i usuwać strony zarządzane przez LPagery oraz procesy masowego generowania stron zarezerwowane dla administratorów. Na domyślnych świeżych instalacjach, w których nie wybrano Freemius, klucz AES-256-CBC używany do walidacji tokenów Bearer sprowadza się do publicznie znanego hasha SHA-256 pustego ciągu, co czyni token całkowicie podrabialnym.

Wtyczka Mang Board dla WordPressa (wersje do 2.4.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().

Wtyczka Mang Board dla WordPress w wersjach do 2.4.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika. Obejście sanityzacji jest dodatkowo ułatwione przez możliwość pominięcia parametru data_type w żądaniu modyfikacji, co całkowicie pomija gałąź HTMLPurifier i pozostawia jedynie kodowanie mbw_htmlspecialchars2 — w pełni odwracane przy renderowaniu.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa (wersje do 0.1.4.1 włącznie) jest podatna na eskalację uprawnień. Strona administracyjna wtyczki jest rejestrowana z użyciem nazwy roli zwracanej przez InstaWP_Setting::get_allowed_role() jako wymaganej zdolności, a pole z kluczem API jest renderowane jako zwykły tekstowy input bez dodatkowej weryfikacji uprawnień manage_options. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może odczytać jawny klucz API, użyć jego sekretu jako tokenu bearer w REST API wtyczki i wywołać POST /wp-json/instawp-connect/v2/auto-login, aby uzyskać 30-sekundowy link logowania ustawiający cookie administratora.

Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.

Wtyczka Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy dla WordPress w wersjach do 1.2.0 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'image_hub_api_keys_* (6 opcji)'. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wyodrębnić jawne poświadczenia API dla sześciu usług zewnętrznych — Giphy, Openverse (client ID i secret), Pexels, Pixabay i Unsplash — emitowane dosłownie do HTML każdej strony administracyjnej przez wp_localize_script. Ujawniony HTML zawiera również ważny nonce AJAX image_hub_nonce, co — w połączeniu z brakiem sprawdzenia uprawnień w handlerze AJAX image_hub_update_settings — pozwala temu samemu atakującemu nadpisać wszystkie sześć zapisanych opcji poświadczeń API przez update_option().