Katalog podatności CVE

Wtyczka Pricing Table dla WordPressa przed wersją 2.1.5 nie weryfikuje schematu wartości linku dostarczonego przez użytkownika w jednym z bloków przed jego wyrenderowaniem, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na przechowywanie złośliwych skryptów, które wykonują się, gdy inny użytkownik przegląda i wchodzi w interakcję z dotkniętą treścią.

Wtyczka affiliate-toolkit dla WordPressa przed wersją 3.9.1 nie uniemożliwia użytkownikowi z niskimi uprawnieniami dostarczenia treści szablonu, którą jej wbudowany silnik szablonów kompiluje i wykonuje jako PHP, co pozwala użytkownikom z rolą Współautor lub wyższą na uruchamianie dowolnego kodu PHP na serwerze.

Wtyczka FV Flowplayer Video Player dla WordPressa przed wersją 7.5.55.7212 nie weryfikuje poprawnie adresu URL dostarczonego przez użytkownika przed wykonaniem pobierania po stronie serwera, a istniejące ograniczenie oparte na hoście nie obejmuje wszystkich przypadków, co pozwala użytkownikom z dostępem na poziomie Współautora i wyższym na przeprowadzanie ataków typu Server-Side Request Forgery (SSRF). Wpływ jest ograniczony do pół-ślepego wyroczni: pobieranie przez serwer ujawnia, czy zasób wewnętrzny odpowiada i jaki jest jego status HTTP, ale zawartość zasobu nie jest zwracana atakującemu.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.8 nie wykonuje żadnej kontroli uprawnień ani nonce na nieuwierzytelnionym żądaniu, które wyzwala żądanie po stronie serwera zawierające poświadczenia do API strony trzeciej i przechowuje wpisy pamięci podręcznej kontrolowane przez atakującego, co pozwala nieuwierzytelnionym atakującym na zużywanie limitu API właściciela witryny i zapisywanie nieograniczonej liczby rekordów w bazie danych witryny.

Tronclass opracowany przez WisdomGarden ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Zdalni uwierzytelnieni atakujący mogą zmodyfikować konkretny parametr, aby wyświetlić wyniki oceny rówieśniczej dowolnego studenta.

Tronclass opracowany przez WisdomGarden ma podatność na ujawnienie wrażliwych danych. Zdalni uwierzytelnieni atakujący mogą ominąć ograniczenia anonimowego oceniania i uzyskać anonimowe informacje o studentach.

Tronclass opracowany przez WisdomGarden ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Zdalni uwierzytelnieni atakujący mogą zmodyfikować konkretny parametr, aby zmienić wyniki oceny rówieśniczej dowolnego studenta.

Wtyczka Sunshine Photo Cart dla WordPressa przed wersją 3.7.4 nie sprawdza, czy odwiedzający ma uprawnienia dostępu do ograniczonej galerii przed przyjęciem komentarzy do jej zdjęć, podczas gdy wykonuje to sprawdzenie przy wyświetlaniu komentarzy, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie treści wybranej przez atakującego z wybraną nazwą autora i adresem e-mail do galerii, które właściciel ograniczył (chronionych hasłem, dostępnych po e-mailu, prywatnych, tylko dla kont lub wygasłych).

Wtyczka WP 2FA dla WordPressa przed wersją 4.2.0 nie wykonuje kontroli uprawnień na poziomie obiektu przed usunięciem konfiguracji dwuskładnikowego uwierzytelniania użytkownika, co pozwala administratorowi witryny w WordPress Multisite na usunięcie konfiguracji 2FA użytkowników spoza własnej witryny, w tym kont, których nie ma uprawnień edytować. W instalacjach jednolokalizacyjnych administrator może już zarządzać wszystkimi użytkownikami, więc przekracza to granicę zaufania tylko w Multisite.

Wtyczka WP Encryption dla WordPressa przed wersją 7.8.8.2 nie wykonuje kontroli uprawnień ani nonce na jednym z handlerów obsługujących procedurę dostarczania certyfikatów SSL, co pozwala nieuwierzytelnionym użytkownikom na nadpisanie prywatnego klucza certyfikatu witryny i zastąpienie oczekującego zamówienia Let's Encrypt oraz materiału wyzwania pojedynczym żądaniem. Powtarzane żądania ciągle regenerują materiał, uniemożliwiając administratorowi dokończenie wydawania certyfikatu.

Wtyczka File Upload to Order dla WordPressa przed wersją 1.1.4 nie weryfikuje ani nie ogranicza ścieżki pliku pobranej z danych sesji kontrolowanych przez atakującego przed usunięciem pliku, a akcja wykonująca usunięcie jest osiągalna przez nieuwierzytelnionych użytkowników, co pozwala im na usuwanie dowolnych plików na serwerze, w tym plików, których usunięcie prowadzi do całkowitego przejęcia witryny.

Wtyczka Ultimate Multisite dla WordPressa przed wersją 2.17.2 nie weryfikuje wartości dostarczonej przez użytkownika używanej do wyboru pliku do dołączenia, co pozwala nieuwierzytelnionym atakującym na dołączanie i odczytywanie dowolnych plików lokalnych, w tym pliku konfiguracyjnego WordPressa.

Wtyczka GamiPress dla WordPressa przed wersją 8.0.6 nie autoryzuje poprawnie dostępu do prywatnych wpisów dziennika aktywności, co pozwala nieuwierzytelnionym użytkownikom na pobieranie prywatnych dzienników aktywności wszystkich użytkowników. Jest to niepełna poprawka CVE-2026-13450.

Wtyczka WordPress GamiPress przed wersją 8.0.6 nie sprawdza uprawnień ani własności w jednej z uwierzytelnionych akcji AJAX. Pozwala to każdemu zalogowanemu użytkownikowi, np. Subskrybentowi, odczytać dowolne wpisy z dziennika aktywności, w tym salda punktów i osiągnięcia innych użytkowników oraz nazwy administratorów wykonujących ręczne operacje na punktach.

Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.16 nie escapuje wartości konfiguracji lightboxa galerii przed wypisaniem ich do skryptu inline na każdej stronie osadzającej galerię. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie kodu JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.

Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani sanityzacji danych wejściowych przed zapisaniem niektórych wartości z żądania. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie kodu HTML i linków, które są renderowane dla odwiedzających sklep.

Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani walidacji na jednej ze swoich tras REST, która zapisuje do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację niektórych zapisanych ustawień wtyczki.

Wtyczka WordPress WP Booking System przed wersją 2.1.0.1 nie sanityzuje ani nie escapuje wartości żądania kontrolowanej przez klienta przed zapisaniem jej i późniejszym wyświetleniem w ekranie administracyjnym. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji administratora przeglądającego zapisane dane.

Wtyczka WordPress Classified Listing przed wersją 6.1.1 nie weryfikuje, czy żądający jest właścicielem lub może edytować docelowy wpis, gdy żądanie galerii odnosi się do niezałączonego elementu multimedialnego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z kontem na poziomie subskrybenta modyfikowanie, uszkodzenie lub usunięcie załączników biblioteki multimedialnej należących do innych użytkowników, w tym administratorów.

Wtyczka WordPress Gutenverse Form przed wersją 3.0.11 nie sanityzuje znaczników ikon SVG przechowywanych w blokach formularzy przed ich zdekodowaniem i wstawieniem do strony w przeglądarce. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie złośliwego SVG, który wykonuje JavaScript w sesji każdego użytkownika przeglądającego lub podglądającego dotknięty formularz, np. administratora sprawdzającego oczekujący wpis.