Katalog podatności CVE

Motyw Context Blog dla WordPressa w wersjach do 1.3.5 włącznie zawiera podatność na ujawnienie wrażliwych informacji przez funkcję context_blog_modal_popup. Niezalogowani atakujący mogą odczytać treść postów chronionych hasłem.

Wtyczka fresh Podcaster dla WordPressa jest podatna na trwałe ataki XSS poprzez shortcode 'freshpodcaster' we wszystkich wersjach do 1.0.7 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Wtyczka bbp Style Pack dla WordPressa w wersjach do 6.4.5 zawiera podatność na trwałe ataki XSS. Funkcja bsp_topic_fields_form_save() zapisuje dane z $_POST bez filtrowania, a bsp_topic_content_append_topic_fields() wyświetla je bez kodowania HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka WCFM – Frontend Manager dla WooCommerce do wersji 6.7.27 włącznie zawiera podatność na pominięcie autoryzacji. Brak weryfikacji uprawnień użytkownika w gałęzi wcfm-my-account-enquiry-manage pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnej treści odpowiedzi do zapytań sklepowych, nadpisywanie głównych rekordów zapytań oraz wysyłanie niechcianych powiadomień e-mail do klientów i sprzedawców.

Wtyczka WP Easy Pay dla WordPressa do wersji 4.5.0 włącznie zawiera lukę w autoryzacji, która pozwala uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym na zmianę statusu dowolnych postów i stron na 'szkic', co skutkuje niepublikowaniem treści.

Wtyczka WCFM Marketplace dla WordPressa zawiera podatność na trwałe ataki XSS w wersjach do 3.7.3 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia w polu 'post_title' załączników. Uwierzytelniony atakujący z dostępem na poziomie Sprzedawcy lub wyższym może wstrzyknąć dowolny kod JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony.

Wtyczka Wallet for WooCommerce dla WordPressa w wersjach do 1.6.4 zawiera podatność na ominięcie autoryzacji. Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wyliczenie nazw użytkowników, adresów e-mail i identyfikatorów wszystkich kont WordPressa, w tym administratorów.

Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.

Wtyczka White Label CMS dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 2.7.12 włącznie. Podatność wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Widgets for Google Reviews dla WordPressa jest podatna na trwały atak XSS przez ustawienia administratora we wszystkich wersjach do 13.3 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika.

Wtyczka Cost Calculator Builder dla WordPressa do wersji 4.0.11 włącznie ujawnia wrażliwe dane uwierzytelniające do bramek płatności (Stripe, Razorpay, PayPal) w kodzie źródłowym strony. Niezautoryzowany atakujący może wyodrębnić te dane, gdy opcja 'użyj we wszystkich kalkulatorach' jest włączona dla co najmniej jednej bramki płatności.

Wtyczka WCFM – Frontend Manager dla WooCommerce do WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 6.7.27 włącznie. Podatność występuje w funkcji wcfm_product_archive z powodu braku walidacji klucza kontrolowanego przez użytkownika.

Wtyczka Catalyst Connect Zoho CRM Client Portal dla WordPressa jest podatna na czasową iniekcję SQL przez parametr 'uid' w wersjach do 2.2.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Print, PDF, Email by PrintFriendly dla WordPressa jest podatna na trwałe ataki XSS poprzez parametr 'content_position_css' we wszystkich wersjach do 5.5.10 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Notification for Telegram dla WordPressa do wersji 3.5.1 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może tworzyć, modyfikować lub przeplanowywać zdarzenie cron nftb_cron_hook, co umożliwia nieautoryzowaną manipulację logiką harmonogramu zadań w tle.

Wtyczka Affilia – Affiliate Program & Referral Tracking dla WordPressa w wersjach do 3.3.3 włącznie nie weryfikuje poprawnie uprawnień użytkownika przed wykonaniem akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym zatwierdzanie lub odrzucanie poleceń afiliacyjnych, kredytowanie prowizji w portfelach afiliacyjnych, usuwanie rekordów poleceń oraz modyfikowanie opcji banerów, co prowadzi do oszustw finansowych. Jedyna kontrola uwierzytelniania opiera się na nonce, który jest osadzony na każdej stronie frontendu i dostępny dla każdego uwierzytelnionego użytkownika.

Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 włącznie zawiera podatność na ominięcie autoryzacji. Wynika to z nieprawidłowego weryfikowania uprawnień użytkownika przed wykonaniem akcji.

Wtyczka AI Chatbot & Workflow Automation by AIWU dla WordPressa w wersjach do 1.4.12 zawiera brak autoryzacji w akcjach AJAX. Brak sprawdzania uprawnień i weryfikacji nonce powoduje, że nieuwierzytelnieni atakujący mogą usuwać konkretne rekordy po ID lub wszystkie rekordy z dowolnej tabeli bazy danych modułu.

Wtyczka SurfLink - Ultimate Link Manager dla WordPressa do wersji 2.6.0 zawiera lukę w funkcji ajax_import_410(), która pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta na importowanie dowolnych adresów URL do bazy danych 410 Gone. Brakuje w niej sprawdzenia uprawnień (current_user_can()) oraz weryfikacji nonce (check_ajax_referer()), podczas gdy inne funkcje AJAX w tej samej klasie są poprawnie zabezpieczone.

Wtyczka ThriveDesk dla WordPressa jest podatna na nieautoryzowane usuwanie pamięci podręcznej z powodu braku sprawdzenia uprawnień w akcji AJAX 'thrivedesk_clear_cache'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą wyczyścić pamięć podręczną wtyczki.