Katalog podatności CVE

Wtyczka Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wielu blokach we wszystkich wersjach do 4.0.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Motyw Avada dla WordPressa do wersji 7.16 włącznie jest podatny na Arbitrary File Write, gdy zainstalowany i aktywny jest plugin Fusion Builder w wersji do 3.16 włącznie. Łańcuch słabości autoryzacji i walidacji danych wejściowych umożliwia niezalogowanym atakującym zapisywanie plików na serwerze, co może prowadzić do zdalnego wykonania kodu i całkowitej kompromitacji strony. Wymagana jest obecność obu komponentów oraz określonej treści utworzonej przez administratora.

Wtyczka Formidable Forms dla WordPressa jest podatna na przechowywany XSS przez parametr 'frm_user_id' we wszystkich wersjach do 6.33.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie użytkownika. Poprzez sfałszowanie frm_user_id na identyfikator administratora, atakujący może spowodować, że tylko wp_kses_post() będzie filtrem, a skrypt wykona się automatycznie.

Wada logiki sterowania w konkretnej wbudowanej stronie internetowej trybu dziecięcego pozwala użytkownikom przeglądać lokalne zdjęcia z galerii bezpośrednio na stronie.

Błąd logiki wyskakującego okna w pewnej funkcji trybu dziecięcego pozwala użytkownikom ominąć weryfikację hasła i używać szybkich aplikacji poza aplikacją.

Podatność w Katello, gdzie API historii widoku zawartości (Content View History API) nie egzekwuje prawidłowo autoryzacji podczas uzyskiwania dostępu do widoku zawartości określonego przez użytkownika. Uwierzytelniony użytkownik z uprawnieniami do przeglądania widoków zawartości w jednej organizacji może uzyskać dostęp do historii cyklu życia widoku zawartości należącego do innej organizacji, podając jego identyfikator w dotkniętym punkcie końcowym API. Może to prowadzić do nieautoryzowanego ujawnienia informacji o cyklu życia widoku zawartości, w tym zdarzeń publikacji i promocji, powiązanych użytkowników i znaczników czasu.

Wtyczka Simple Newsletter Plugin dla WordPressa przed wersją 4.3.3 nie weryfikuje, czy żądający jest subskrybentem wymienionym w publicznym żądaniu przed wyświetleniem zapisanych danych tego subskrybenta, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie danych osobowych subskrybenta wraz z kluczem upoważniającym do zmian w jego rekordzie.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.4 nie sanityzuje i nie escapuje parametru przed użyciem w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka Stripe Payment Forms by WP Full Pay przed wersją 8.5.1 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta, zanim na niej zadziała. Pozwala to użytkownikowi z potwierdzoną sesją portalu na anulowanie, reaktywację lub modyfikację subskrypcji należących do innych klientów.

Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.1 nie weryfikuje poprawnie, czy sesja portalu klienta zakończyła krok potwierdzenia przed zwróceniem danych, co pozwala nieuwierzytelnionym użytkownikom na odczytanie danych subskrypcji i rozliczeń innego klienta.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.

Wtyczka Order Tip for WooCommerce dla WordPressa przed wersją 1.6.0 nie sprawdza uprawnień użytkownika żądającego usunięcia pliku ani nie ogranicza ścieżki, która może zostać usunięta, co pozwala użytkownikom z rolą Shop Manager i wyżej na usuwanie dowolnych plików na serwerze, co może prowadzić do przejęcia witryny.

Wtyczka AI Engine przed wersją 3.7.2 nie przeprowadza kontroli autoryzacji na jednej z funkcji przeznaczonych tylko dla administratorów, polegając zamiast tego na tokenie wydawanym anonimowym odwiedzającym. Pozwala to nieuwierzytelnionym atakującym na uruchamianie własnych zapytań AI przeciwko skonfigurowanemu kontu dostawcy właściciela witryny.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.2 nie ogranicza adresu URL podanego przez wywołującego podczas mapowania go na lokalną ścieżkę pliku przed odczytaniem pliku i przesłaniem jego zawartości do zewnętrznej usługi. Pozwala to użytkownikom z kontem subskrybenta na odczyt dowolnych plików z serwera i ich eksfiltrację poza host. Osiągnięcie podatności na poziomie subskrybenta wymaga włączenia niepublicznej funkcji API; w przeciwnym razie problem jest osiągalny przez administratora, co w multisite pozwala administratorowi podwitryny niebędącemu superadministratorem na odczyt współdzielonej konfiguracji i jej sekretów.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie sprawdza, czy użytkownik żądający aktywności jest jej właścicielem w jednej z tras API REST. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt historii aktywności innych użytkowników wraz z ich adresami e-mail oraz szczegółami projektów, do których nie ma dostępu.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ogranicza kilku tras API REST do projektów, do których użytkownik należy. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt treści zadań i adresów e-mail użytkowników z innych projektów oraz modyfikację tablic zadań w innych projektach.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ma żadnej kontroli autoryzacji na swoich trasach importu, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress z hasłem znanym atakującemu, omijając ustawienia rejestracji witryny.