Katalog podatności CVE

Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1065 nie waliduje ustawienia widgetu używanego do budowy tagu HTML przed jego wypisaniem, co może pozwolić użytkownikom z rolą Contributor i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting.

Wtyczka Order Sync with Zendesk for WooCommerce dla WordPressa przed wersją 2.2.3 nie wykonuje żadnej kontroli uprawnień na jednym z punktów końcowych REST API i nie weryfikuje, czy żądający jest właścicielem konta, co pozwala nieuwierzytelnionym atakującym na pobranie historii zamówień i sum zakupów dowolnego klienta, jeśli znają lub mogą wyliczyć jego adres e-mail.

Wtyczka ProSolution WP Client dla WordPressa przed wersją 2.0.9 nie wykonuje kontroli uprawnień dla dwóch administracyjnych akcji AJAX, a nonce, na którym polegają, jest opublikowany na publicznym froncie, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na wyzwolenie administracyjnej synchronizacji danych i wyczyszczenie rekordów aktywności wtyczki.

Wtyczka ProSolution WP Client dla WordPressa przed wersją 2.0.9 nie weryfikuje adresu URL podanego przez użytkownika ani nie sprawdza uprawnień lub nonce przed wykonaniem żądania HTTP po stronie serwera. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na wysyłanie dowolnych żądań do wewnętrznych hostów i usług, w tym z wybraną metodą, nagłówkami i treścią.

Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.

Wtyczka WPC Admin Columns dla WordPressa przed wersją 2.3.4 nie zawiera kontroli autoryzacji w jednej z akcji AJAX, co pozwala użytkownikom z rolą co najmniej subskrybenta na odczyt dowolnych metadanych użytkowników, wpisów i terminów, w tym danych należących do administratorów.

Wtyczka Cookie Consent przed wersją 0.0.10 nie egzekwuje poprawnie kontroli uprawnień administratora na trasie REST przechowującej klucz licencyjny usługi geolokalizacji. Trasa ta wymaga jedynie uwierzytelnienia, co pozwala każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na nadpisanie klucza i zakłócenie działania banerów zgody opartych na geolokalizacji.

Wtyczka User Access Manager przed wersją 2.3.15 nie stosuje ograniczeń dostępu do żądań API REST, co pozwala nieuwierzytelnionym atakującym na odczyt treści postów, stron i niestandardowych typów treści, które zostały ograniczone do określonych grup użytkowników.

Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w bloku skryptu inline, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Reflected Cross-Site Scripting na osoby, które klikną spreparowany link do strony z galerią.

Wtyczka WP Travel Engine przed wersją 6.8.5 nie przeprowadza kontroli autoryzacji ani własności podczas ładowania identyfikatora rezerwacji dostarczonego przez wywołującego w jednej z nieuwierzytelnionych akcji koszyka. Pozwala to nieuwierzytelnionym atakującym na ujawnienie szczegółów zamówienia i danych rozliczeniowych dowolnego klienta oraz na nadpisanie rekordu rezerwacji własnymi danymi.

Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.

Wtyczka WordPress Cookie Consent przed wersją 0.0.10 nie egzekwuje poprawnie kontroli uprawnień administratora w trasach REST dotyczących ustawień zgody, co powoduje, że wymagane jest tylko uwierzytelnienie. Każdy zalogowany użytkownik, np. subskrybent, może aktualizować ustawienia zgody, a na stronach połączonych z płatnym planem dostawcy czytać zapisane logi zgód odwiedzających.

Wtyczka WordPress Patterns Kit do wersji 1.0.3 nie escapuje atrybutu linku przed wstawieniem go do strony przez skrypt po stronie klienta. Użytkownicy z rolą co najmniej Współautor mogą przechowywać ładunek, który wykonuje się w przeglądarce użytkownika po kliknięciu danego elementu.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie sprawdza uprawnień do tworzenia kampanii w jednej z akcji AJAX. Każdy zalogowany użytkownik, np. subskrybent, może tworzyć posty kampanii crowdfundingowych, mimo że nie ma do tego uprawnień.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności zamówienia przed zwróceniem szczegółów zamówienia. Każdy zalogowany użytkownik, np. subskrybent, może czytać dane osobowe dowolnego zamówienia WooCommerce i wyliczyć wszystkie zamówienia w sklepie.

Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności kampanii przed umożliwieniem modyfikacji jej historii aktualizacji i wysłania e-maila do wspierających. Każdy zalogowany użytkownik, np. subskrybent, może zmieniać kampanie innych użytkowników.

Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.

Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do przechowywanych rekordów klientów, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych osobowych innych klientów, takich jak imiona i adresy e-mail.

Wtyczka LearnPress dla WordPressa przed wersją 4.4.4 nie weryfikuje, czy użytkownik jest zapisany na kurs, zanim przetworzy żądania asystenta AI dotyczące treści lekcji tego kursu, umożliwiając każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, uzyskanie materiałów z płatnych kursów, na które nie jest zapisany.