Katalog podatności CVE

Wtyczka WordPress TillKit w wersji przed 1.0.5 nie wymaga zmiany zaszyfrowanego, publicznie znanego PIN-u uprzywilejowanego konta POS tworzonego przy aktywacji. Uwierzytelnia publiczny punkt logowania POS wyłącznie na podstawie tego PIN-u, bez sprawdzania tożsamości lub uprawnień, co umożliwia nieuwierzytelnionym atakującym uzyskanie uprzywilejowanej sesji POS i odczyt danych osobowych klientów oraz użytkowników witryny, a także modyfikację danych sklepu.

Wtyczka WordPress SaveTo Wishlist Lite w wersji przed 1.1.5 nie sanityzuje ani nie escapuje parametrów przed użyciem ich w klauzuli ORDER BY zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączenie dodatkowych zapytań SQL i wydobycie wrażliwych informacji z bazy danych.

Wtyczka Kubio AI Page Builder dla WordPressa przed wersją 2.9.3 nie ogranicza rozszerzonego zestawu dozwolonych elementów HTML tylko do kontekstu edytora, przez co szerszy zestaw jest stosowany również podczas filtrowania treści przesyłanych przez nieuwierzytelnionych użytkowników. Pozwala to na przechowywanie znaczników, które skrypt wtyczki wykonuje później w przeglądarce każdego odwiedzającego lub administratora przeglądającego niezatwierdzoną jeszcze treść.

Wtyczka Kubio AI Page Builder dla WordPressa przed wersją 2.9.3 nie weryfikuje schematu URI wartości podanej przez użytkownika przed użyciem jej jako celu linku. Użytkownicy z rolą autora i wyższą mogą przechowywać ładunek, który wykonuje się w przeglądarce każdego, kto kliknie link, w tym administratora podglądającego nieopublikowaną treść.

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na przechowywane ataki XSS przez parametry powiadomień o rozliczeniach w wersjach do 2.12.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Punkt końcowy IPN akceptuje parametry 'rel' i 'option' bez uwierzytelnienia, walidacji nonce ani weryfikacji podpisu.

Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do pliku debugowania, który zapisuje w katalogu głównym serwisu przy każdej wysyłce formularza, gdy włączona jest integracja z HubSpot Forms. Pozwala to nieuwierzytelnionym atakującym na odczyt danych odpowiedzi API, w tym identyfikatorów korelacji i ciasteczek.

Wtyczka MetForm dla WordPressa przed wersją 4.3.1 nie ogranicza prawidłowo dostępu do danych przesłanych formularzy, co pozwala nieuwierzytelnionym atakującym na przeglądanie informacji o osobach wysyłających przez REST API.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nieprawidłowo obsługuje wartość wyszukiwania przed przepisaniem już przygotowanego zapytania SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection i pobieranie niepublicznych treści, gdy powiązana opcja widgetu jest ustawiona inaczej niż domyślnie.

Wtyczka Unlimited Elements for Elementor dla WordPressa przed wersją 2.0.21 nie sanityzuje ścieżek plików wewnątrz przesłanych archiwów przed ich rozpakowaniem, co pozwala uwierzytelnionym użytkownikom z dostępem do funkcji zarządzania zasobami (domyślnie administratorzy, lub edytorzy, gdy włączona jest niestandardowa opcja) na zapisywanie dowolnych plików, w tym wykonywalnych PHP, poza zamierzonym katalogiem przesyłania na serwerach, gdzie rozszerzenie PHP zip jest niedostępne, prowadząc do zdalnego wykonania kodu.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.

Wtyczka Helpdesk Support Ticket System for WooCommerce dla WordPressa jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) we wszystkich wersjach do 2.1.6 włącznie, poprzez parametr 'id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może usuwać odpowiedzi do zgłoszeń należące do innych użytkowników, podając dowolny identyfikator wiersza stsw_responses.

Wtyczka GeoDirectory dla WordPressa jest podatna na wstrzykiwanie SQL przez przechowywane współrzędne geograficzne (latitude/longitude) wpisu w wersjach do 2.8.186 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy przez publiczny handler wp_ajax_nopriv_geodir_widget_listings z parametrami set_post i sort_by.

Wtyczka Calculated Fields Form dla WordPressa jest podatna na odbite XSS oparte na DOM we wszystkich wersjach do 5.5.1.5 włącznie, poprzez parametr 'arbitrary' (nazwy powiązane przez administratora przez url.<name>). Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka WPC Smart Quick View for WooCommerce dla WordPressa jest podatna na odbity XSS we wszystkich wersjach do 4.4.0 włącznie, poprzez parametr 'woosq-redirect'. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka WordPress WP 2FA w wersji przed 4.1.0 nie unieważnia jednorazowego kodu czasowego (TOTP) po jego użyciu. Umożliwia to atakującemu znającemu hasło konta i mającemu wgląd w ważny kod w oknie jego ważności ponowne użycie kodu i obejście uwierzytelniania dwuskładnikowego, w tym na kontach administratorów.

Wtyczka WordPress MPG w wersji przed 4.2.3 nie sprawdza, czy źródło zbioru danych podane przy imporcie projektu jest zdalnym adresem URL, zanim potraktuje je jako lokalną ścieżkę w systemie plików i skopiuje plik do publicznie dostępnego katalogu uploads. Umożliwia to użytkownikom z rolą Editor i wyższą odczyt dowolnych plików na serwerze, a skopiowany plik może pobrać nieuwierzytelniony odwiedzający.

Wtyczka Magic Tooltips For Contact Form 7 dla WordPressa jest podatna na przechowywane ataki XSS przez parametr 'author' w wersjach do 1.0.34 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak jest możliwy, ponieważ filtr esc_html wtyczki dekoduje payloady zakodowane w encjach HTML z powrotem do żywego HTML.

Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.

Wtyczka SEOPress dla WordPressa jest podatna na przechowywany XSS we wszystkich wersjach do 10.2 włącznie, poprzez parametr 'seopress_google_analytics_matomo_id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.