Katalog podatności CVE

Brak autoryzacji w pluginie Blog2Social dla WordPressa (do wersji 8.8.3). Uwierzytelnieni atakujący z dostępem Subscriber mogą modyfikować, przeplanowywać lub usuwać zaplanowane posty innych użytkowników poprzez manipulację parametrem b2s_id.

Wtyczka WowPress dla WordPressa do wersji 1.0.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty shortcode'u. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym wejściu na zainfekowaną stronę.

Wtyczka Wavr dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode `wave`. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.

Podatność na Stored Cross-Site Scripting we wtyczce Inquiry Form to Posts or Pages dla WordPressa w wersjach do 1.0 włącznie. Pole 'Form Header' jest niewystarczająco sanityzowane podczas zapisu i nie jest odpowiednio kodowane przy wyświetlaniu. Uwierzytelnieni atakujący z dostępem administratora mogą wstrzyknąć dowolne skrypty, które wykonają się na stronie ustawień wtyczki lub na stronach z shortcodem [inquiry_form].

Wtyczka Masteriyo LMS dla WordPress do wersji 2.1.7 ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika. Funkcja handle_webhook() nie weryfikuje poprawnie sygnatury webhooka, co pozwala nieuwierzytelnionym atakującym na wysyłanie fałszywych zdarzeń Stripe i oznaczanie dowolnych zamówień jako opłaconych bez płatności.

Wtyczka Sports Club Management dla WordPress do wersji 1.12.9 zawiera podatność na przechowywany XSS przez atrybuty 'before' i 'after' shortcode'a scm_member_data. Uwierzytelnieni atakujący z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Wtyczka Quran Translations dla WordPressa do wersji 1.7 włącznie jest podatna na Cross-Site Request Forgery (CSRF). Brak weryfikacji nonce w funkcji quran_playlist_options() umożliwia nieuwierzytelnionemu atakującemu modyfikację ustawień wtyczki poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.

Wtyczka Attendance Manager dla WordPress do wersji 0.6.2 jest podatna na iniekcję SQL przez parametr 'attmgr_off'. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta i wyższym mogą dołączać dodatkowe zapytania SQL do istniejących, co pozwala na wyodrębnienie wrażliwych danych z bazy.

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 zawiera podatność na Stored XSS przez atrybut 'id' shortcode'u '[print_clmns]'. Brak eskejpowania danych wyjściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów, pod warunkiem istnienia co najmniej jednej kolumny utworzonej przez administratora.

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 udostępnia endpoint REST API '/wp-json/InkXEProductDesignerLite/orders' bez autoryzacji, co pozwala nieuwierzytelnionym atakującym na wyodrębnienie wrażliwych danych klientów i zamówień z WooCommerce, w tym imion, nazwisk, identyfikatorów, kwot i statusów zamówień.

Wtyczka WP Blockade dla WordPressa do wersji 0.9.14 włącznie ma brak autoryzacji w funkcji render_shortcode_preview(), która pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie dowolnych shortcodów WordPressa.

Wtyczka PZ Frontend Manager dla WordPressa w wersjach do 1.0.6 zawiera podatność polegającą na braku autoryzacji w funkcji pzfm_user_request_action_callback(). Funkcja ta, zarejestrowana przez akcję AJAX wp_ajax_pzfm_user_request_action, nie sprawdza uprawnień ani nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym usunięcie dowolnych użytkowników WordPressa, w tym administratorów.

Wtyczka Pinterest Site Verification using Meta Tag dla WordPress w wersjach do 1.8 zawiera podatność na trwałe XSS poprzez parametr 'post_var' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Whole Enquiry Cart for WooCommerce dla WordPress w wersjach do 1.2.1 zawiera podatność na trwałe XSS poprzez parametr 'woowhole_success_msg' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie administratora mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony. Podatność dotyczy tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka AM LottiePlayer dla WordPress do wersji 3.6.0 włącznie jest podatna na Stored Cross-Site Scripting przez przesłane pliki SVG z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Autora i wyższym mogą wstrzykiwać dowolne skrypty na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

W bibliotece Ado::Sessions dla Perla do wersji 0.935 generowane są niebezpieczne identyfikatory sesji. Identyfikatory są oparte na funkcji rand(), czasie epoch i PID, co czyni je przewidywalnymi. Ado nie jest już utrzymywane i zostało usunięte z indeksu CPAN.

Amon2::Plugin::Web::CSRFDefender w wersjach 7.00 do 7.03 dla Perla generuje niebezpieczny identyfikator sesji. Funkcja generate_session_id próbuje czytać z /dev/urandom, ale jeśli jest niedostępny, generuje bajty przy użyciu SHA-1 z ziarnem z rand(), PID i czasu epoki. PID pochodzi z małego zestawu, a czas może być odgadnięty. Funkcja rand() nie nadaje się do celów kryptograficznych.

Wtyczka The Plus Addons for Elementor dla WordPressa zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode Progress Bar. Luka wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika. Dotyczy wersji do 6.4.9 włącznie.

Podatność Cross-Site Scripting w MATCHA SNS w wersji 1.3.9 i wcześniejszych. Jeśli zostanie wykorzystana, dowolny skrypt może zostać wykonany w przeglądarce użytkownika odwiedzającego witrynę korzystającą z produktu.

Wtyczka LatePoint dla WordPressa do wersji 5.3.0 zawiera podatność na Stored XSS przez parametr 'button_caption' w shortcode [latepoint_resources]. Atakujący z dostępem na poziomie contributora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.