Katalog podatności CVE

Wtyczka Smart Manager dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'access_privileges' w wersjach do 8.97.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy tylko wtedy, gdy administrator zapisał konfigurację listy odmów opartą na rolach, która nie blokuje wewnętrznego modułu 'access-privilege'.

Wtyczka Responsive Plus – Elementor Templates & Starter Sites dla WordPressa w wersjach do 3.5.3 włącznie jest podatna na trwałe XSS przez atrybuty shortcode'ów z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System dla WordPressa w wersjach do 3.0.19 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może odczytywać, tworzyć, aktualizować, klonować i usuwać przepływy powiadomień e-mail, w tym nadpisywać domyślne wiadomości potwierdzenia rezerwacji, anulowania i alertów administratora treścią kontrolowaną przez atakującego.

Wtyczka WPC Estimated Delivery Date for WooCommerce dla WordPressa w wersjach do 4.0.1 włącznie jest podatna na odbite XSS przez parametr 'rule_data' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Obejście wykorzystuje funkcję strip_shortcodes() WordPressa, która rozwija podwójne nawiasy [[tag]] do postaci [tag], co przetrwa zapis w wp_insert_post i uruchamia się przy renderowaniu publicznego typu postu xs_review przez the_content.

Wtyczka WPMobile.App – Android and iOS App Builder dla WordPressa w wersjach do 11.84 włącznie jest podatna na trwałe XSS przez parametr 'REQUEST_URI (segment ścieżki po /android_json/search/)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Wykorzystanie wymaga skonfigurowania trybu treści aplikacji jako 'webview' (opcja 'speed' nieustawiona na '1').

Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Nonce wymagany do przejścia jedynej bramki jest emitowany do nieuwierzytelnionych odwiedzających przez publiczny formularz recenzji, a przesłane ładunki shortcode'ów są domyślnie automatycznie publikowane bez zatwierdzenia administratora.

Wtyczka Wp Social Login and Register Social Counter dla WordPressa w wersjach do 3.2.1 włącznie jest podatna na trwałe XSS przez atrybut alt awatara i zapis dowolnych metadanych użytkownika z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi wywołać endpoint dismiss_ajax_call (nonce dostępny dla subskrybentów) aby ustawić flagę meta xs_social_profile_image, a następnie ustawić nazwę wyświetlaną na ładunek skryptu.

Wtyczka Visitor Traffic Real Time Statistics dla WordPressa jest podatna na przechowywane ataki XSS (DOM-based) przez nagłówek HTTP 'X-Real-IP' w wersjach do 8.16 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak nie wymaga uwierzytelnienia, nonce ani żadnych uprawnień.

Wtyczka Simple Membership dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnianie wrażliwych informacji w wersjach do 4.8.3 włącznie przez punkty końcowe resend-activation i email-activation. Nieuwierzytelnieni atakujący mogą przekierować e-mail aktywacyjny oczekującego członka, a także e-mail z nazwą użytkownika i hasłem w postaci zwykłego tekstu, na wybrane przez siebie adresy, a następnie aktywować konto bez zgody członka.

Wtyczka WordPress Pie Register w wersji przed 3.8.4.14 nie ogranicza dostępu do raportu kodów zaproszeń. Nieuwierzytelniony gość znający prawidłowy kod zaproszenia może uzyskać nazwy użytkowników i adresy e-mail wszystkich osób, które zarejestrowały się z tym kodem.

Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.

Wtyczka Transliterator dla WordPressa jest podatna na przechowywane ataki XSS przez treść komentarzy z użyciem przewidywalnego placeholderu {rstr_keep} w wersjach do 2.5.8 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload przetrwa sanitizację komentarzy WordPressa, ponieważ używane tagi i atrybuty są dozwolone przez listę kses.

Wtyczka SEOPress dla WordPressa jest podatna na przechowywane ataki XSS przez wyświetlaną nazwę autora w wersjach do 10.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga skonfigurowania wymiaru niestandardowego 'Track Authors' w ustawieniach Google Analytics 4 lub Matomo oraz możliwości publikowania treści przez atakującego.

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie sanityzuje ani nie escapuje niektórych wartości konfiguracji pakietu przed wyświetleniem ich w panelu administracyjnym. Umożliwia to użytkownikom z uprawnieniem tłumacza i wyższym przeprowadzenie ataku Stored Cross-Site Scripting przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie ogranicza ścieżek plików, które mogą być odczytywane przez jej trasy plików tłumaczeń. Umożliwia to użytkownikom z uprawnieniem tłumacza pobranie zawartości niektórych typów plików z dowolnego miejsca na serwerze, w tym spoza katalogu głównego witryny.

Wtyczka GD Rating System dla WordPressa jest podatna na przechowywane ataki XSS przez argumenty renderowania 'title' i 'url' w AJAX-ie gdrts_live_handler w wersjach do 3.7.1 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nonce wymagany przez AJAX jest publicznie emitowany w bloku JSON na każdej stronie renderującej element oceny.

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to użytkownikom z rolą subskrybenta przeprowadzenie ataków blind SQL injection i odczyt dowolnych danych z bazy danych. Wersja 2.0.18 usunęła dostęp na poziomie subskrybenta, więc od 2.0.18 problem wymaga roli współpracownika lub wyższej.

Wtyczka WordPress Mailchimp for WooCommerce w wersji przed 6.3 nie wymaga uwierzytelnienia, nonce ani sprawdzenia własności przed wykonaniem operacji na rekordzie porzuconego koszyka klienta identyfikowanego na podstawie danych z żądania. Umożliwia to nieuwierzytelnionemu atakującemu modyfikację lub usunięcie zapisanego koszyka innego klienta.

Wtyczka Alt Text AI – Automatically generate image alt text for SEO and accessibility dla WordPressa w wersjach do 1.10.41 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może nadpisać post_content dowolnego postu lub strony tekstem generowanym przez LLM, wpływając na SEO i zużywając płatne kredyty API AltText.ai.