Katalog podatności CVE

Wtyczka Nexter Extension dla WordPressa (wersje do 4.7.11 włącznie) jest podatna na eskalację uprawnień. Handler /?reset-view w funkcji role_switcher_to_view_admin_as() nie sprawdza nonce ani uprawnień, a mechanizm czyszczenia oparty na hooku profile_update nie uruchamia się przy masowej zmianie roli przez wp-admin/users.php?action=promote, pozostawiając nieaktualną wartość 'administrator' w metadanych użytkownika.

Wtyczka Klarna for WooCommerce dla WordPressa (wersje do 4.13.3 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może uzyskać dostęp do klucza order_key oraz pełnych danych osobowych rozliczeniowych i wysyłkowych (imię, nazwisko, e-mail, telefon, adres, kod pocztowy, miasto, region, kraj) dowolnego zamówienia, które są ujawniane w zmiennej JavaScript klarna_payments_params.

Wtyczka Mang Board dla WordPressa (wersje do 2.4.3 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka InstaWP Connect – 1-click WP Staging & Migration dla WordPressa (wersje do 0.1.4.1 włącznie) jest podatna na eskalację uprawnień. Strona administracyjna wtyczki jest rejestrowana z użyciem nazwy roli zwracanej przez InstaWP_Setting::get_allowed_role() jako wymaganej zdolności, a pole z kluczem API jest renderowane jako zwykły tekstowy input bez dodatkowej weryfikacji uprawnień manage_options. Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może odczytać jawny klucz API, użyć jego sekretu jako tokenu bearer w REST API wtyczki i wywołać POST /wp-json/instawp-connect/v2/auto-login, aby uzyskać 30-sekundowy link logowania ustawiający cookie administratora.

Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa (wersje do 3.16.0.6 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może pobrać dane rozliczeniowe (imię i nazwisko, adres, e-mail, telefon) dla dowolnego zamówienia WooCommerce, podając kolejny identyfikator zamówienia.

Wtyczka Modula Image Gallery dla WordPressa (wersje do 3.0.11 włącznie) jest podatna na ujawnienie poufnych informacji poprzez parametr 'id' w /wp-json/wp/v2/modula-gallery/{id}. Nieuwierzytelniony atakujący może wyodrębnić hasło i nazwę użytkownika zabezpieczające galerię z pola modulaSettings REST dla każdej opublikowanej galerii.

Wtyczka miniOrange OTP Login dla WordPressa (wersje do 5.5.8 włącznie) jest podatna na obejście uwierzytelniania poprzez funkcję mo_by_pass_login(). Funkcja mo_delay_otp_process() skraca proces uwierzytelniania przed walidacją hasła, a flaga Delay OTP jest przechowywana w metadanych użytkownika bez powiązania z sesją, co pozwala nieuwierzytelnionemu atakującemu zalogować się jako dowolny użytkownik, w tym administrator.

Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.

Wtyczka Complianz GDPR/CCPA Cookie Consent Banner dla WordPressa (wersje do 7.5.5 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez zawartość komentarzy i filtr yotu-wp Cookie-Blocker z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Backuply dla WordPressa (wersje do 1.5.8) jest podatna na wstrzyknięcie SQL typu second-order poprzez pole 'Biographical Info'. Wartość jest eksportowana bez zabezpieczeń do zrzutu SQL kopii zapasowej, a przy późniejszym przywracaniu kopii złośliwy ładunek może wykonać dowolne zapytania SQL z pełnymi uprawnieniami bazy danych.

Wheels CLI w wersjach 4.0.0–4.1.1 niewystarczająco waliduje lub escapuje wartości podane przez użytkownika oraz zawartość pakietów. Może to prowadzić do wykonania poleceń powłoki na hostach wdrożeniowych i w runnerze CI, usunięcia niepożądanych plików, nadpisania plików innych dostawców, zapisu poza projektem, wstrzyknięcia wykonywalnego CFML, przechowywanego XSS oraz zakończenia niepowiązanego procesu.

Wheels w wersjach 1.1–4.1.2 rozwiązuje rekordy nestedProperties() na podstawie przesłanego klucza głównego bez sprawdzenia, czy należą do zapisywanego rodzica. Użytkownik może zaktualizować, przepisać lub usunąć rekordy hasMany/hasOne innego rodzica, a także edytować rekordy belongsTo, podając klucz innego powiązanego rekordu.

Wheels w wersjach 4.0.0–4.1.2 udostępnia narzędzia deweloperskie bez hasła pod /wheels/* zdalnym klientom, gdy enablePublicComponent=true (domyślnie w środowisku deweloperskim). W wersji 4.1.2 ograniczenie lokalnego dostępu opiera się na nagłówkach dostarczanych przez klienta bez weryfikacji peera.

Wheels w wersjach 4.0.0–4.1.2 przed 4.2.0 zastępuje warunki zakresu przychodzącego warunkiem klucza głównego w findByKey() i exists(key=). W przypadku exists(key=) w środowisku produkcyjnym z wyłączonymi informacjami o błędach zwracane jest true dla klucza spoza zakresu zamiast zgłoszenia wyjątku.

Wtyczka Flying Scripts dla WordPressa (wersje do 1.2.4) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek wykorzystuje wyłącznie elementy dozwolone przez kses, a XSS jest wprowadzany po zapisie przez mechanizm przepisywania bufora wyjściowego wtyczki.

Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.2.11) jest podatna na przechowywane XSS poprzez parametr 'media:thumbnail@url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi kontrolować zewnętrzny kanał RSS, który docelowa witryna już zaimportowała.

Wtyczka Colibri Page Builder dla WordPressa (wersje do 1.0.390) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek przechodzi przez rozszerzoną listę dozwolonych komentarzy, a wykonanie następuje, gdy colibri.js odczytuje zapisaną wartość data-target i przekazuje ją do jQuery().

Wtyczka Customer Email Verification for WooCommerce (wersje do 3.3.0) jest podatna na eskalację uprawnień poprzez parametr 'alg_wc_ev_verify_email'. Kod aktywacyjny jest generowany za pomocą wp_rand(100), co daje tylko ~101 możliwych wartości, a handler verify() nie sprawdza nonce i nie ogranicza liczby prób.

Frappe HRMS w wersjach 14.x przed 14.38.2, 15.x przed 15.64.0 i 16.x przed 16.18.0 zawiera podatność na wstrzyknięcie SQL w niektórych punktach końcowych z powodu braku walidacji danych wejściowych. Każdy uwierzytelniony atakujący, w tym konto o niskich uprawnieniach, może wysłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.