WordPress (Wordfence) Seite 7

Das WordPress-Plugin Passster gibt laut NVD bis einschliesslich Version 4.3.6 passwortgeschützten Block-Inhalt bereits in der öffentlichen Seitenantwort aus, bevor das Passwort geprüft wird. Dadurch können nicht authentifizierte Nutzer den geschützten Inhalt auslesen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin MultiVendorX prüft vor Version 5.0.11 in seiner REST-API nicht, ob der adressierte Store tatsächlich dem anfragenden Vendor gehört. Dadurch kann ein authentifizierter Vendor-Account (Store Owner oder höher) auf Stores zugreifen, die einem anderen Vendor gehören. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GiveWP schränkt laut NVD vor Version 4.16.3 den Zugriff auf einen REST-API-Endpunkt, der wiederkehrende Spendendatensätze zurückgibt, nicht ausreichend ein. Dadurch können nicht authentifizierte Nutzer Informationen daraus abrufen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GPTranslate – Multilingual AI Translation ist anfällig für Stored Cross-Site Scripting über den Übersetzungsspeicher der REST-API. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Gallery by BestWebSoft ist bis einschliesslich Version 4.7.9 über die Parameter-Array-Schlüssel '_gallery_order_{post_id}' anfällig für SQL-Injection; Ursache ist laut Quelle eine unzureichende Eingabebehandlung. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die CVE ist nicht in der CISA-KEV-Liste gelistet, ein Einsatz in Ransomware-Kampagnen ist nicht bekannt. Eine belegte Massnahme ist in den Quelldaten nicht angegeben.

Das WordPress-Plugin Smart Popup by Supsystic ist bis einschliesslich Version 1.12.0 durch eine Kollision in der Berechtigungszuordnung der Funktion havePermissions() anfällig für eine Rechteausweitung (Privilege Escalation). CVSS-Basiswert: 8.8 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Das WordPress-Plugin „Integration for Freshsales – Contact Form 7, WPForms, Elementor, Gravity Forms and More“ ist über Formular-Übermittlungsdaten für Stored Cross-Site Scripting anfällig. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine korrigierte Plugin-Version aktualisieren.

Das WordPress-Plugin Online Scheduling and Appointment Booking System – Bookly ist über das Cookie 'bookly-customer-full-name' für Stored Cross-Site-Scripting anfällig. Betroffen sind Versionen bis einschliesslich der in der Quelle genannten Fassung. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das Pronamic-Pay-Plugin für WordPress ist in allen Versionen bis einschliesslich 10.1.0 anfällig für eine Rechteausweitung (Privilege Escalation). Ursache ist die Funktion maybe_update_user_role(), die einen von Angreifern kontrollierten Wert entgegennimmt. Betroffen sind WordPress-Installationen mit dem Plugin, gemeldet von Patchstack, Wordfence und WPScan. CVSS-Basiswert: 8.8 (Hoch).

Das WordPress-Plugin FluentSMTP – WP SMTP Plugin with Amazon SES, SendGrid, MailGun, Postmark, Google and Any SMTP Provider ist anfällig für gespeichertes Cross-Site-Scripting über das Feld für den Empfänger-Anzeigenamen (Recipient Display Name). CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin Contest Gallery leitet vor Version 30.0.7 laut NVD das Frontend-Login nicht über den regulären WordPress-Authentifizierungsablauf, sondern stellt das Authentifizierungs-Cookie direkt im Anschluss an die Passwortprüfung aus. Weitere technische Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin „Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder“ ist für gespeichertes Cross-Site Scripting anfällig. Ursache ist eine unzureichende Bereinigung des Namensfelds, wenn darin ein verschachteltes password-Element übergeben wird. Ein Angreifer kann dadurch clientseitigen Skriptcode einschleusen, der beim Aufruf der betroffenen Seite ausgeführt wird. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin „WP Fast Total Search – The Power of Indexed Search“ ist laut NVD anfällig für generische SQL-Injection über den Parameter form_data[s] in allen Versionen bis einschliesslich 1.80.280. Ein Angreifer kann dadurch ohne Authentifizierung Daten aus der Datenbank auslesen. CVSS-Basiswert: 7.5 (Hoch), der Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) beschreibt eine über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbare Lücke mit Auswirkung auf die Vertraulichkeit.

Das WordPress-Plugin Premium Packages – Sell Digital Products Securely ist über den Parameter code des REST-API-Endpunkts POST /wp-json/wpdmpp/v1/cart/coupon anfällig für SQL-Injection. CVSS-Basiswert: 7.5 (Hoch).

Das Plugin Super Forms – Drag & Drop Form Builder für WordPress ist in allen Versionen bis einschliesslich 6.3.316 für eine Rechteausweitung anfällig. Die Ursache liegt im Register-&-Login-Add-on (die Quellbeschreibung ist danach abgeschnitten). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine Massnahme ist in den Quelldaten nicht angegeben.

Das WordPress-Plugin Query Monitor (Developer-Tools-Panel) ist über den Parameter $_SERVER['REQUEST_URI'] anfällig für Reflected Cross-Site Scripting, und zwar in allen Versionen bis einschliesslich der betroffenen Fassung. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Im Feed ist die Schwachstelle den überwachten Produktbereichen Paessler AG, WordPress (Patchstack), WordPress (Wordfence) und WordPress (WPScan) zugeordnet.

Das WordPress-Plugin miniOrange 2FA bindet vor Version 6.2.7 den während der Pre-Login-Zwei-Faktor-Abfrage konfigurierten zweiten Faktor nicht an den bereits hinterlegten Faktor des Zielkontos. Dies kann einem Angreifer die Umgehung der Zwei-Faktor-Authentifizierung ermöglichen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin SP Project & Document Manager ist bis einschliesslich Version 4.71 durch eine fehlende Berechtigungsprüfung in der view_file-Funktion für unbefugten Zugriff anfällig. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung des Plugins auf eine Version neuer als 4.71.

Das WordPress-Plugin Sunshine Photo Cart führt in Versionen vor 3.6.12 bei einer seiner AJAX-Aktionen keine Zugriffskontrolle durch. Dadurch können unauthentifizierte Nutzer Bildkommentare abrufen, ohne dass eine Berechtigungsprüfung erfolgt. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin User Registration & Membership setzt in Versionen vor 5.2.6 die Einstellung zum Deaktivieren der Registrierung bei der Verarbeitung von Registrierungsformularen laut NVD nicht durch. Dadurch können unauthentifizierte Nutzer die Sperre umgehen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Laut NVD speichert das WordPress-Plugin Demi vor Version 0.0.7 vollständige Site-Backup-Archive an einem öffentlich erreichbaren Ort unter einem vorhersehbaren Dateinamen und ohne Zugriffsschutz. Dadurch können nicht authentifizierte Angreifer diese Backup-Archive herunterladen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Anti-Spam by CleanTalk (Spam protection) vor Version 6.79 bereinigt Inhalte innerhalb eines eigenen Shortcodes der E-Mail-Encoding-Funktion nicht ausreichend. Dadurch können nicht authentifizierte Angreifer die Schwachstelle ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Version 6.79 oder neuer aktualisieren.

Das WordPress-Plugin miniOrange 2FA validiert laut NVD vor Version 6.2.6 das übermittelte Einmalpasswort nicht gegen das gespeicherte Secret des Zielnutzers, sondern gegen einen vom Angreifer mitgelieferten Wert. Dies untergräbt die Zwei-Faktor-Authentifizierung vollständig. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin „Online Scheduling and Appointment Booking System – Bookly“ ist laut NVD in allen Versionen bis einschliesslich 27.5 anfällig für eine zeitbasierte SQL-Injection über den Parameter staff_ids. Ein Angreifer kann dadurch eigene SQL-Abfragen in die Datenbank einschleusen und so Daten auslesen oder manipulieren. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin „SAML Single Sign On – SSO Login“ ist bis einschliesslich Version 5.4.6 für einen Authentication Bypass anfällig. Ursache ist, dass der ACS-Handler mo_saml_login_validate() den Zustand nicht korrekt persistiert. CVSS-Basiswert: 7.5 (Hoch). Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

Im WordPress-Plugin Cozmoslabs Profile Builder bis Version 3.16.1 wurde in der Funktion wppb_ajax_simple_avatar der Datei /wp-admin/admin-ajax.php eine Schwachstelle identifiziert. CVSS-Basiswert: 7.3 (Hoch).

Das WordPress-Plugin LogMyTrip bereinigt und escaped bis Version 1.9 einen aus einem Cookie stammenden Wert nicht, bevor dieser in eine SQL-Abfrage übernommen wird. Dadurch können nicht authentifizierte Angreifer SQL-Injection-Angriffe durchführen. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin Survey & Poll 1.5.7.3 enthält eine SQL-Injection-Schwachstelle, die es nicht authentifizierten Angreifern erlaubt, über den wp_sap-Cookie beliebige SQL-Abfragen auszuführen. Die Ausnutzung erfolgt über das Netzwerk ohne Benutzerinteraktion; laut CVSS-Vektor wirkt sie sich auf die Vertraulichkeit voll und auf die Integrität teilweise aus. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Gallery for Google Photos beschränkt vor Version 1.2.1 laut NVD den Zugriff auf die gespeicherten OAuth-Zugangsdaten des verbundenen Google-Kontos nicht ausreichend, wodurch die persistenten Zugriffs-Token offengelegt werden. Die NVD-Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 1.2.1 oder neuer.

Das WordPress-Plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder ist laut NVD über einen gefälschten Upload-Datensatz im Select-Feld anfällig für gespeichertes Cross-Site Scripting (Stored XSS). Die genaue betroffene Versionsspanne ist in den Quelldaten nicht vollständig ausgewiesen. CVSS-Basiswert: 7.2 (Hoch).

Im WordPress-Plugin Broken Link Checker von WPMU DEV besteht eine SQL-Injection-Schwachstelle (unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl), die eine Blind-SQL-Injection ermöglicht. CVSS-Basiswert: 7.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Das Plugin auf die vom Hersteller bereitgestellte fehlerbereinigte Version aktualisieren.

Das WordPress-Plugin „Photo Gallery, Sliders, Proofing“ validiert vor Version 4.5.0 die Dateiendungen von aus einem hochgeladenen Archiv extrahierten Dateien nicht korrekt, da eine Variable fälschlich als Schleifenwert wiederverwendet wird. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Forminator Forms schränkt vor Version 1.57.2.1 laut NVD nicht ein, welche Klassen bei der Deserialisierung eines aus einer XML-RPC-Anfrage stammenden Werts instanziiert werden dürfen. Dadurch können Nutzer mit entsprechenden Formularrechten die Schwachstelle ausnutzen; weitere Details zu den genauen Rechten liegen in den Quelldaten nicht vor. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin wp-downloadmanager erlaubt laut NVD in Version 1.68.11 (auch in der 6.9.4-Release-Linie) einem Benutzer mit der Berechtigung manage_downloads (current_user_can('manage_downloads')) das Hochladen beliebiger Dateien. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin YouTube Embed führt in den Versionen 10.0 bis 10.3 bei einer seiner AJAX-Aktionen keine Autorisierungsprüfung durch und verlässt sich ausschliesslich auf eine Nonce, die auf jeder Front-End-Seite ausgegeben wird; zudem wird laut Quelle nicht ausreichend escaped. CVSS-Basiswert: 8.8 (Hoch). Der Vektor (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) setzt eine Nutzerinteraktion voraus, ermöglicht aber vollen Verlust von Vertraulichkeit, Integrität und Verfügbarkeit.

Das WordPress-Plugin Simple Ajax Chat escaped vor Version 20260827 laut NVD Chat-Nachrichteninhalte nicht vor der Anzeige, wodurch nicht authentifizierte Nutzer beliebige HTML-Attribute in die Seite einschleusen können. Die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Unlimited Elements For Elementor vor Version 2.0.11 bereinigt und maskiert die über die Serp-API abgerufenen Google-Bewertungsinhalte nicht, bevor sie im Google-Reviews-Widget ausgegeben werden. Dadurch kann schädlicher Code in die Ausgabe gelangen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin The Events Calendar for GeoDirectory ist in Versionen bis einschliesslich 2.3.28 für eine Rechteausweitung (Privilege Escalation) anfällig. Ursache ist der ajax_ayi_action()-Handler, der eine Eingabe nur unzureichend prüft, sodass ein Angreifer mit niedrigen Rechten seine Berechtigungen ausweiten kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Plugin auf eine Version nach 2.3.28 aktualisieren, sobald verfügbar.

Das WordPress-Plugin GenieWords prüft in den Versionen 1.5.27 bis 1.5.34 bei mehreren REST-API- und AJAX-Aktionen keine Berechtigungen und dekodiert gespeicherte Werte vor der Ausgabe, wodurch nicht authentifizierte Angreifer betroffen sein können. CVSS-Basiswert: 8.8 (Hoch); der Vektor verlangt eine Nutzerinteraktion, wirkt sich aber vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Eine aktive Ausnutzung laut CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht dokumentiert; eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Das WP Password Policy Plugin für WordPress ist laut NVD in allen Versionen bis einschliesslich 3.7.1 von einer Privilege-Escalation-Schwachstelle betroffen. Ursache sind fehlende Autorisierungsprüfungen und eine fehlende Nonce-Verifizierung in einer Plugin-Funktion. CVSS-Basiswert: 8.8 (Hoch). Betroffen sind laut Produktzuordnung WordPress (Patchstack), WordPress (Wordfence) und WordPress (WPScan). Empfohlene Massnahme: auf eine fehlerbereinigte Version aktualisieren.

Das Plugin WP ERP Pro für WordPress ist bis einschliesslich Version 1.5.1 für SQL-Injection über den Parameter search_key anfällig. Ursache ist eine unzureichende Maskierung der vom Benutzer gelieferten Eingabe. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffen sind im Feed die überwachten WordPress-Produktbereiche (Patchstack, Wordfence, WPScan). Empfohlene Massnahme: das Plugin auf eine fehlerbereinigte Version aktualisieren.

Im WordPress-Plugin MailChimp Forms by MailMunch fehlt bei den AJAX-Handlern sign_in() und sign_up() eine Berechtigungsprüfung. Dadurch sind nicht autorisierte Datenänderungen möglich. CVSS-Basiswert: 8.1 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Das WordPress-Plugin Simply Poll 1.4.1 enthält eine SQL-Injection-Schwachstelle, über die nicht authentifizierte Angreifer durch den POST-Parameter 'pollid' SQL-Code einschleusen und Datenbankinhalte auslesen können. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Product Catalog 8 1.2 enthält eine SQL-Injection-Schwachstelle, über die nicht authentifizierte Angreifer durch Einschleusen von Schadcode in einen Select-Parameter beliebige SQL-Abfragen ausführen können. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin KittyCatfish 2.2 enthält eine SQL-Injection-Schwachstelle, die es nicht authentifizierten Angreifern erlaubt, über einen nicht escapten GET-Parameter Datenbankinhalte auszulesen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Wow Viral Signups 2.1 enthält eine SQL-Injection-Schwachstelle, über die nicht authentifizierte Angreifer durch den ungeprüften POST-Parameter 'idsignup' Datenbankinhalte auslesen können. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Wow Forms in Version 2.1 enthält eine SQL-Injection-Schwachstelle. Über einen nicht ausreichend maskierten POST-Parameter können nicht authentifizierte Angreifer beliebige Datenbankinhalte auslesen. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das Plugin FleekDash V2 für WordPress ist in allen Versionen bis einschliesslich 2.6.2.2 anfällig für eine Autorisierungsumgehung, da nicht korrekt geprüft wird, ob ein Nutzer für eine Aktion berechtigt ist. CVSS-Basiswert: 8.8 (Hoch).

Das WordPress-Plugin Bit Form bereinigt laut NVD bis einschliesslich Version 3.2.0 hochgeladene Signatur-Bilder vor dem Speichern nicht ausreichend. Nicht authentifizierte Angreifer können dadurch eine präparierte SVG-Datei mit eingebettetem JavaScript hochladen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Hoo Companion 1.0.2 verfügt laut NVD in einer seiner Import-Funktionen über keine Autorisierungs- oder Validierungsprüfung und bereinigt die übermittelten Daten nicht, bevor sie gespeichert werden. Die Quellbeschreibung ist an dieser Stelle abgeschnitten; weitere technische Details liegen nicht vor. CVSS-Basiswert: 8.8 (Hoch).