Katalog podatności CVE

Wtyczka Simply Schedule Appointments dla WordPressa jest podatna na lokalne dołączanie plików w wersjach do 1.6.12.27 włącznie przez parametr 'ssa_locale'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP. W praktyce eksploitacja nie wymaga uwierzytelnienia, ponieważ filtr locale jest instalowany bezwarunkowo na każdym żądaniu podczas plugins_loaded, a callback nie wykonuje żadnej kontroli nonce ani uprawnień przed zwróceniem surowej wartości parametru GET.

Wtyczka Broken Link Notifier dla WordPressa przed wersją 2.0.0.1 nie weryfikuje ponownie celu przekierowań podczas sprawdzania linków, co pozwala nieuwierzytelnionym atakującym na ominięcie filtra adresów wewnętrznych i zmuszenie serwera do wysyłania żądań do wewnętrznych usług.

Wtyczka Course Booking System dla WordPressa przed wersją 7.0.9 nie ogranicza dostępu do eksportu rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na pobieranie imienia, adresu e-mail i adresu rozliczeniowego każdego klienta, który dokonał rezerwacji kursu.

Wtyczka Media Library Organizer dla WordPressa przed wersją 2.1.4 nie weryfikuje, czy użytkownik żądający utworzenia nowego terminu posiada uprawnienia do zarządzania docelową taksonomią, co pozwala użytkownikom z poziomem współautora i wyższym na tworzenie publicznie widocznych terminów w dowolnej taksonomii zarejestrowanej na stronie.

Wtyczka YayReviews dla WordPressa przed wersją 1.4.1 nie ogranicza dostępu do trasy API, która zwraca indywidualne rekordy recenzji klientów, w tym recenzje oczekujące na moderację, co pozwala nieuwierzytelnionym atakującym na zbieranie adresów e-mail recenzentów i innych niepublicznych treści recenzji.

Wtyczka InPost PL dla WordPressa przed wersją 1.9.8 nie weryfikuje autentyczności przychodzących żądań webhook dotyczących przesyłek, polegając jedynie na niejawnym identyfikatorze i kontroli IP, która nie jest egzekwowana, co pozwala nieuwierzytelnionym atakującym, którzy znają numer śledzenia przesyłki, na sfałszowanie jej statusu i przedwczesne oznaczenie zamówienia jako zrealizowanego.

Wtyczka Verge3D Publishing and E-Commerce dla WordPressa przed wersją 4.13.1 nie weryfikuje zawartości plików przesyłanych przez funkcję przechowywania plików i serwuje je z typem treści kontrolowanym przez atakującego, co pozwala nieuwierzytelnionym atakującym na przechowywanie pliku zawierającego złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy.

Wtyczka Content Egg dla WordPressa przed wersją 11.9.0 nie weryfikuje, czy użytkownik uruchamiający funkcję masowego importu treści jest autoryzowany do wybranego presetu importu, i przełącza się na tożsamość autora presetu przed utworzeniem wynikowego posta, co pozwala użytkownikom z poziomem współautora i wyższym na przechowywanie dowolnych skryptów internetowych bez filtrowania na koncie uprzywilejowanego użytkownika, wykonując je w kontekście każdego, kto później zobaczy tę treść.

Wtyczka WP Mobile Menu dla WordPressa przed wersją 2.9 nie weryfikuje poprawnie nonce na imporcie ustawień, więc atakujący może zaimportować dowolne ustawienia wtyczki WP Mobile Menu przed wersją 2.9 przez żądanie cross-site w sesji administratora, a zaimportowane wartości są następnie wypisywane bez escape'owania każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie ogranicza procedury migracji plików pochodnych WebP do bieżącego katalogu uploads witryny, co pozwala atakującemu z uprawnieniami administratora na zmianę nazwy lub usunięcie istniejących plików obrazów pochodnych WebP poza tym zakresem, w tym w sieci multisite, plików należących do innej witryny, do której nie ma dostępu.

Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie zapobiega przechowywaniu przez uwierzytelnionych użytkowników z uprawnieniami autora serializowanej wartości w polu meta wpisu, która jest deserializowana podczas renderowania wpisu. Umożliwia to przeprowadzenie ataku PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, gdy dostępny jest odpowiedni łańcuch gadżetów.

Wtyczka Image Optimizer dla WordPressa przed wersją 1.7.7 nie egzekwuje zamierzonej kontroli uprawnień na kilku swoich trasach REST do odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi na odczyt metadanych załączników i statystyk całej witryny, które powinny być ograniczone do administratorów.

Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie escapuje wartości, które jej wbudowany parser HTML ponownie emituje do atrybutów elementów, gdy włączony jest niestandardowy tryb dostarczania obrazów. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie treści, które są przechowywane i wykonywane jako Cross-Site Scripting w przeglądarce każdego użytkownika odwiedzającego dotkniętą stronę, w tym administratorów.

Wtyczka Robin Image Optimizer dla WordPressa przed wersją 2.0.8 nie sprawdza uprawnień użytkownika przed wywołaniem jednego z modułów obsługi żądań wbudowanego frameworka administracyjnego. Pozwala to użytkownikom z kontem na poziomie subskrybenta na renderowanie stron administracyjnych wtyczki i ujawnienie jej zapisanych ustawień.

Motyw Vayu X dla WordPressa przed wersją 1.0.6 nie przeprowadza żadnej kontroli uprawnień w jednej ze swoich akcji AJAX i udostępnia nonce chroniące tę akcję każdemu zalogowanemu użytkownikowi. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na instalowanie i aktywowanie dowolnego motywu hostowanego w repozytorium WordPress.org.

Wtyczka Safe Redirect Manager dla WordPressa przed wersją 2.3.0 nie waliduje poprawnie celu przekierowania, gdy skonfigurowana jest reguła przekierowania z użyciem symboli wieloznacznych do absolutnego adresu URL. Umożliwia to nieuwierzytelnionym atakującym przekierowanie odwiedzających na dowolną zewnętrzną witrynę za pomocą spreparowanej ścieżki żądania.

Wtyczka Hostinger Reach dla WordPressa przed wersją 1.8.3 nie sanityzuje i nie escapuje ustawienia widżetu przed wyprowadzeniem go w podglądzie edytora. Pozwala to użytkownikom z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów internetowych, które wykonają się w sesji użytkownika z wyższymi uprawnieniami, który otworzy dotkniętą treść w edytorze.

Wtyczka Connections Business Directory dla WordPressa do wersji 10.4.67 nie stosuje ograniczeń widoczności i statusu moderacji na niektórych punktach końcowych API REST do odczytu. Umożliwia to nieuwierzytelnionym atakującym pobieranie wpisów katalogu oznaczonych jako prywatne lub niepubliczne, lub oczekujących na moderację, w tym nazwy wpisów, organizacje, biografie, notatki wewnętrzne i adresy ulic. Wtyczka została zamknięta na WordPress.org i nie jest dostępna żadna wersja z poprawką, więc właściciele witryn powinni ją usunąć lub ograniczyć nieuwierzytelniony dostęp do jej tras API REST.

Wtyczka All in One Files Upload dla WordPressa przed wersją 2.0.17 nie ma żadnej kontroli uprawnień i nie weryfikuje autentyczności żądania podczas zapisywania ustawień. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na ich zmianę.

Wtyczka All in One Files Upload dla WordPressa przed wersją 2.0.17 dodaje SVG do dozwolonych typów przesyłanych plików i nie sanityzuje przesłanych plików ani nie weryfikuje autentyczności publicznych żądań przesyłania. Umożliwia to nieuwierzytelnionym użytkownikom przechowywanie plików zawierających aktywną treść, która wykonuje się w obrębie witryny, gdy ofiara je otworzy.