Katalog podatności CVE

Wtyczka Smart Slider 3 dla WordPressa jest podatna na przechodzenie po katalogach (Directory Traversal) we wszystkich wersjach do 3.5.1.36 włącznie, poprzez funkcję replaceHTMLImage. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora lub wyższym odczytanie zawartości dowolnych plików na serwerze, które mogą zawierać poufne informacje.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa do wersji 1.3.9.7 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienia 'drag_n_drop_text' i 'drag_n_drop_browse_text'. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka OptinCraft dla WordPressa do wersji 1.2.0 jest podatna na ogólną iniekcję SQL przez parametr 'order_by'. Luka wymaga uwierzytelnienia z uprawnieniami administratora i umożliwia dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Wtyczka LearnPress dla WordPressa do wersji 4.3.6 włącznie ujawnia wrażliwe dane przez parametr 'return_type'. Niezalogowany atakujący może wyodrębnić hasła do chronionych kursów oraz treść, autora i nazwę nieopublikowanych wpisów.

Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.

Wtyczka Click to Chat – WA Widget dla WordPress do wersji 4.38 zawiera podatność na Stored Cross-Site Scripting (XSS) w shortcode [chat] przez parametr 'num'. Niewystarczające kodowanie powoduje, że encje HTML są dekodowane w atrybutach zdarzeń, co pozwala na wykonanie dowolnego kodu JavaScript. Atak wymaga dostępu na poziomie Contributor lub wyższym.

Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.

Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.

Wtyczka LearnPress – Backup & Migration Tool dla WordPressa w wersjach do 4.1.4 włącznie jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych. Podatność wymaga dostępu administratora i obecności łańcucha POP w innym zainstalowanym wtyczce lub motywie.

Wtyczka LearnPress – Backup & Migration Tool dla WordPressa do wersji 4.1.4 włącznie jest podatna na arbitralny odczyt plików poprzez path traversal za pomocą parametru 'import-user-file'. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje.

Wtyczka Quick Playground dla WordPressa do wersji 1.3.4 zawiera podatność na path traversal w funkcji qckply_data(), która przekazuje parametr filename bezpośrednio do file_get_contents() bez walidacji, co pozwala uwierzytelnionym administratorom na odczyt dowolnych plików na serwerze.

Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.

Wtyczka Page-list dla WordPressa w wersjach do 6.2 włącznie ma lukę w autoryzacji. Funkcja pagelist_unqprfx_ext_shortcode() akceptuje atrybuty post_status, post_type i show_meta_key kontrolowane przez atakującego i przekazuje je do get_pages() i get_post_meta() bez sprawdzania uprawnień. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym ujawnienie tytułów, treści i metadanych prywatnych i szkicowych stron poprzez wstawienie shortcode do swojego szkicu i podgląd go.

Wtyczka LatePoint – Calendar Booking Plugin dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 5.6.0 włącznie. Brak walidacji nonce w funkcji change_status umożliwia nieuwierzytelnionym atakującym zmianę statusu dowolnych faktur, w tym oznaczenie nieopłaconych faktur jako opłaconych, poprzez sfałszowane żądanie.

Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.

Wtyczka Simple SEO Slideshow dla WordPress do wersji 1.2.8 zawiera podatność na trwałe XSS przez atrybuty shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dowolne skrypty, które wykonują się przy każdym odwiedzeniu strony. WordPress KSES nie usuwa złośliwych wartości atrybutów shortcode podczas zapisu posta.

Wtyczka Express Payment For Stripe dla WordPress do wersji 1.28.0 zawiera podatność na trwałe XSS przez atrybut 'type' shortcode [stripe-express]. Wartość atrybutu jest konkatenowana do atrybutu HTML bez użycia esc_attr(), co umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor wstrzyknięcie dowolnych skryptów.

Wtyczka Event Monster dla WordPressa do wersji 2.1.0 ma podatność polegającą na niewystarczającej weryfikacji autentyczności danych. Procedura AJAX capture_payment() ufa danym płatności dostarczonym przez klienta (w tym ID transakcji, kwocie i statusie) bez weryfikacji po stronie serwera z API PayPal ani innym dostawcą płatności, a także bez sprawdzania nonce lub uprawnień. Umożliwia to nieuwierzytelnionym atakującym fałszowanie rekordów płatności, oznaczanie rezerwacji jako zakończone i otrzymywanie e-maili potwierdzających z ważnymi biletami QR bez dokonania płatności.

Brak walidacji nonce w funkcji funp_ajax_modify_notes wtyczki Frontend User Notes dla WordPressa umożliwia atak CSRF. Niezalogowany atakujący może nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony, co spowoduje nadpisanie notatek ofiary (tylko jej własnych) poprzez sfałszowane żądanie do wp_update_post().

Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.2 włącznie jest podatna na czasową ślepą iniekcję SQL przez parametr 'order'. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.