WordPress (Patchstack) Seite 24

Das WordPress-Plugin Fluent Support prüft vor Version 2.3.1 den Zugriff pro Ticket nicht, bevor der zugewiesene Kunde eines Tickets geändert wird. Laut NVD kann ein eingeschränkter Support-Mitarbeiter dadurch den zugewiesenen Kunden ändern. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Event Tickets and Registration escaped vor Version 5.28.4 Veranstaltungstitel nicht ausreichend, bevor sie in einem Ticket-Historien-Log ausgegeben werden. Dadurch können Nutzer mit der Rolle Editor oder höher schädlichen Code einschleusen, der beim Aufruf des Logs im Browser anderer Nutzer ausgeführt wird. CVSS-Basiswert: 3.5 (Niedrig). Empfohlene Massnahme: Plugin auf Version 5.28.4 oder neuer aktualisieren.

Das WordPress-Plugin Event Tickets and Registration prüft vor Version 5.29.0.1 die Autorisierung bei bestimmten Seating-Aktionen nicht korrekt. Laut NVD können Nutzer mit Contributor-Rechten und höher diese Lücke ausnutzen. CVSS-Basiswert: 2.2 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin Store Locator vor Version 1.6.9 bereinigt und maskiert die Metadaten des Store-Logos nicht, bevor sie gespeichert und auf der Admin-Seite ausgegeben werden. Dadurch ist ein gespeichertes Cross-Site-Scripting möglich. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin Brizy schränkt vor Version 2.8.19 nicht ausreichend ein, wer die site-globalen Design-Daten verändern darf, und bereinigt einen Teil dieser Daten nicht vor der Ausgabe. Dadurch können authentifizierte Nutzer mit geringen Berechtigungen die globalen Design-Daten manipulieren; weitere Angaben zu den genauen Auswirkungen liegen in den Quelldaten nicht vor. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Laut NVD bereinigt und escaped das WordPress-Plugin ElementsKit Elementor Addons vor Version 3.10.01 bestimmte Megamenü-Menüpunkt-Einstellungen nicht, bevor diese gespeichert und auf der Website ausgegeben werden. Dadurch besteht das Risiko, dass darüber schädlicher Inhalt in die Ausgabe der Website gelangt. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin Store Locator vor Version 1.6.6 bereinigt und maskiert eine seiner Einstellungen nicht, bevor sie gespeichert und auf der Admin-Seite des Plugins ausgegeben wird. Dadurch ist gespeichertes Cross-Site-Scripting möglich. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

Das WordPress-Plugin Custom Block Builder prüft vor Version 4.3.0 die Berechtigung unfiltered_html nicht auf allen Pfaden konsistent, die in die Codefelder der Block-Templates schreiben. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Version 4.3.0.

Das WordPress-Plugin Quiz and Survey Master (QSM) führt vor Version 11.1.5 laut Quellbeschreibung keine Rechteprüfung durch, bevor Ausgabe-Templates gelöscht werden. Dadurch können Nutzer mit Contributor-Rechten oder höher Templates löschen. CVSS-Basiswert: 2.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin ProfileGrid vor Version 5.9.9.7 führt bei seinen Lizenzverwaltungs-Aktionen keine Berechtigungsprüfung durch und stützt sich nur auf einen Nonce, der jedem angemeldeten Benutzer offensteht. Dadurch können authentifizierte Benutzer diese Aktionen auslösen. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Version 5.9.9.7 oder neuer.

Das WordPress-Plugin Spectra Legacy validiert oder escaped vor Version 2.20.0 mehrere Block-Style-Attribute nicht, bevor daraus im Frontend ausgegebenes CSS erzeugt wird. Laut NVD können Nutzer mit Contributor-Rechten diese Lücke ausnutzen. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin WPBot validiert vor Version 8.5.2 von Administratoren konfigurierte Feld-Bezeichner nicht, bevor sie in einer SQL-Abfrage verwendet werden. Nutzer mit Administrator-Zugriff können darüber SQL-Injection durchführen. CVSS-Basiswert: 3.8 (Niedrig). Empfohlene Massnahme: das Plugin auf Version 8.5.2 oder neuer aktualisieren.