WordPress (WPScan) Seite 4

Das WordPress-Plugin Easy Integration for Dropbox führt vor Version 2.2.0 bei mehreren AJAX-Aktionen zur Dateiverwaltung keine Autorisierungsprüfung durch. Diese Aktionen sind zudem für nicht authentifizierte Nutzer registriert, wodurch Angreifer ohne Login auf die Dateiverwaltungsfunktionen zugreifen können. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Als weitere Produktbezüge gemäss den Meldequellen genannt sind DocuSign/Box/Dropbox sowie WordPress-Installationen über Patchstack, Wordfence und WPScan.

Das WordPress-Plugin User Registration & Membership vor Version 5.2.2 prüft die Echtheit eingehender Webhook-Benachrichtigungen von Zahlungsanbietern nicht, bevor es auf sie reagiert. Nicht authentifizierte Angreifer können dadurch gefälschte Benachrichtigungen einschleusen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Plugin-Version 5.2.2 oder neuer aktualisieren.

Das WordPress-Plugin Project Management, Bug and Issue Tracking bereinigt und maskiert in Versionen vor 5.1.0 benutzergelieferte Eingaben nicht, bevor es sie in einer SQL-Abfrage verwendet. Dadurch können nicht authentifizierte Angreifer eine SQL-Injection auslösen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das Plugin auf Version 5.1.0 oder neuer aktualisieren.

Das WordPress-Plugin teddy-bear-customize-addon prüft bis Version 1.0.5 das Passwort eines Benutzers vor der Anmeldung nicht, wodurch sich nicht authentifizierte Angreifer als beliebiger registrierter Benutzer anmelden können. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin advanced-customized-prompts prüft bis einschliesslich Version 1.0.1 bei einer nicht authentifizierten Aktion das Passwort nicht, bevor es für eine angegebene E-Mail-Adresse eine authentifizierte Sitzung ausstellt. Weitere Details zum genauen Ausmass liegen in den Quelldaten nicht vor. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin TrueBooker prüft laut Quellbeschreibung vor Version 1.2.4 beim Zurücksetzen eines Nutzerpassworts über einen Frontend-Konto-Handler nicht, ob der anfragende Nutzer tatsächlich Kontoinhaber ist, wodurch nicht authentifizierte Angreifer betroffen sein können. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin Kirki vor Version 6.0.12 validiert eine benutzerseitig übergebene URL nicht, bevor sie serverseitig aufgerufen wird. Dadurch können nicht authentifizierte Angreifer die Website veranlassen, HTTP-Anfragen an beliebige Hosts zu senden (Server-Side Request Forgery). CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: auf Version 6.0.12 oder neuer aktualisieren.

Das WordPress-Plugin miniOrange 2FA prüft vor den Versionen 6.3.1 beziehungsweise 19.3 keine validierte Transaktion, bevor Site-Options gelöscht werden, deren Namen aus nicht authentifizierten Anfragen stammen. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin „Word Count and Social Shares“ validiert bis einschliesslich Version 1.0 einen benutzerseitig übergebenen Dateipfad vor dem Löschen nicht und verfügt zudem weder über eine ordentliche Berechtigungsprüfung noch über CSRF-Schutz. Dadurch können bereits authentifizierte Nutzer beliebige Dateien löschen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Plugin auf eine korrigierte Version aktualisieren, sobald verfügbar, und den Zugriff bis dahin einschränken.

Das Divi-Membership-Plugin für WordPress ist laut NVD in Versionen bis einschliesslich 2.2.0 anfällig für eine Rechteausweitung. Ursache ist die Funktion dmem_form_submit_handler(), die die Rolle des neuen Benutzers bestimmt. CVSS-Basiswert: 9.8 (Kritisch). Eine Aufnahme in die CISA-KEV-Liste liegt nicht vor, ein EPSS-Wert ist nicht verfügbar. Betreiber sollten prüfen, ob das Plugin in Version 2.2.0 oder älter im Einsatz ist.

Das WordPress-Plugin BackupSheep WordPress Backup Plugin bis Version 1.8 validiert seinen Integrationsschlüssel nicht korrekt und behandelt einen nicht gesetzten oder leeren Schlüssel als gültig. Dadurch können nicht authentifizierte Angreifer die Prüfung umgehen. CVSS-Basiswert: 10 (Kritisch).

Das WordPress-Plugin Super Forms – Drag & Drop Form Builder ist in allen Versionen bis einschliesslich 6.3.316 für eine Rechteausweitung (Privilege Escalation) anfällig; als Ursache nennt die Quelle das Register-&-Login-Add-on (der Quelltext ist an dieser Stelle abgeschnitten). CVSS-Basiswert: 9.8 (Kritisch). Betroffene Installationen sollten das Plugin prüfen und auf eine Version nach 6.3.316 aktualisieren, sofern der Hersteller eine solche bereitstellt.

Im WordPress-Plugin WordPress File Upload besteht in Versionen bis einschliesslich 5.1.10 eine unauthentifizierte SQL-Injection-Schwachstelle. CVSS-Basiswert: 9.3 (Kritisch).

Das WordPress-Plugin Ultimate Multisite (Multisite SaaS & WaaS Platform) ist in allen Versionen bis einschliesslich 2.15.0 für eine Authentifizierungsumgehung über den Parameter checkout_form anfällig. Laut NVD ist die Lücke aus der Ferne ausnutzbar, ohne dass Anmeldedaten nötig sind. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt noch nicht vor. In den Quelldaten ist keine Massnahme genannt.

Das WordPress-Theme Zella Theme führt vor Version 2.6.3 bei einer seiner Font-Upload-Aktionen keine Berechtigungs- oder Nonce-Prüfung durch. Dadurch können nicht authentifizierte Angreifer beliebige Dateien hochladen. CVSS-Basiswert: 9.8 (Kritisch).

Das Plugin „ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce“ für WordPress ist in allen Versionen bis einschliesslich 1.17.8 über die Funktion save_attachment anfällig für Unrestricted File Type Upload. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin MemberGlut vor Version 1.1.5 validiert die bei der Front-End-Registrierung gewählte Rolle nicht. Nicht authentifizierte Benutzer können dadurch ein Konto mit einer beliebigen Rolle registrieren und so erhöhte Berechtigungen erlangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das Plugin auf Version 1.1.5 oder neuer aktualisieren.

Das WordPress-Plugin Masteriyo LMS vor Version 2.3.1 prüft die Berechtigung einer nicht authentifizierten AJAX-Aktion zum Zurücksetzen von Benutzersitzungen nicht korrekt. Nicht authentifizierte Angreifer können darüber Sitzungen anderer Benutzer beenden. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: das Plugin auf Version 2.3.1 oder neuer aktualisieren.

Das WordPress-Plugin 微信二维码登陆 (WeChat-QR-Code-Login) validiert bis einschliesslich Version 1.3 eingehende WeChat-Webhook-Anfragen nicht korrekt: Die Signaturprüfung ist stets erfolgreich. Zudem gibt das Plugin den generierten Login-Code in der Webhook-Antwort preis. CVSS-Basiswert: 9.1 (Kritisch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Das WordPress-Plugin Realtyna Organic IDX plugin + WPL Real Estate validiert in Versionen vor 5.3.0 den Typ hochgeladener Dateien nicht. Die Upload-Funktionalität ist zudem lediglich durch eine API abgesichert, die aktiviert sein kann. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das Plugin auf Version 5.3.0 oder neuer aktualisieren.

Das WordPress-Plugin FacturaONE para WooCommerce con VeriFactu authentifiziert vor Version 5.37 einen seiner Request-Handler nicht. Der einzige Schutz des Handlers leitet sich aus einem kryptografischen Schlüssel ab, der laut Quellbeschreibung leer ist. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: das Plugin auf Version 5.37 oder neuer aktualisieren.

Das WordPress-Plugin rtMedia für WordPress, BuddyPress und bbPress erlaubt bis einschliesslich Version 4.7.10 eine nicht authentifizierte SQL-Injection. Angreifer können ohne vorherige Anmeldung eigene SQL-Befehle in die Datenbankabfragen des Plugins einschleusen. CVSS-Basiswert: 9.3 (Kritisch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Das WordPress-Plugin MountDev AI MCP Connector ist in allen Versionen bis einschliesslich 1.6.1 für eine Umgehung der Autorisierung anfällig. Ursache ist eine unzureichende Berechtigungsprüfung im Plugin. Der Angriff ist laut CVSS-Vektor ohne Authentifizierung über das Netzwerk möglich. CVSS-Basiswert: 9.8 (Kritisch).

Das Plugin Ninja Forms für WordPress enthält in den Versionen 3.10.4 bis 3.14.9 ein nicht authentifiziertes, gespeichertes Cross-Site-Scripting (Stored XSS) in der Funktion Repeatable Fieldset, in der parseSubmissionIndex() nicht ausreichend geprüfte Eingaben verarbeitet. Ein Angreifer kann so Schadcode einschleusen, der später im Kontext anderer Nutzer ausgeführt wird (Benutzerinteraktion erforderlich). CVSS-Basiswert: 9.3 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin Ninja Forms in Version 3.14.8 und früher enthält für WordPress Multisite eine fehlerhafte Autorisierung. Ein Administrator einer Untersite kann dadurch die netzwerkweite Löschung aller Ninja-Forms-Daten auslösen. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:R/S:C) weist auf eine aus dem Netzwerk mit Benutzerinteraktion ausnutzbare Lücke mit Auswirkung über die verwundbare Komponente hinaus hin. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Plugin gemäss Hersteller-Advisory aktualisieren.

Das WordPress-Plugin Aimogen Pro (All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit) ist in allen Versionen bis einschliesslich 2.8.4 für eine Privilegienausweitung anfällig. Angreifer können darüber unberechtigt höhere Rechte im betroffenen System erlangen. CVSS-Basiswert: 9.8 (Kritisch). Betroffene Installationen sollten auf eine bereinigte Version aktualisiert werden.

Das WordPress-Plugin AI Copilot bindet vor Version 1.5.4 OAuth-Zugriffstoken nicht an einen WordPress-Benutzer und akzeptiert jedes gültige Token als Administratorsitzung. Dadurch können nicht authentifizierte Angreifer eine Administratorsitzung erlangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 1.5.4 oder neuer.

Das WordPress-Plugin Happy Coders OTP Login for WooCommerce prüft in Versionen vor 2.8 nicht, ob ein Einmalpasswort tatsächlich validiert wurde, bevor ein Nutzer anhand einer übergebenen Kennung authentifiziert wird. Dies erlaubt eine Authentifizierungsumgehung. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung des Plugins auf Version 2.8 oder neuer.

Das Plugin Podlove Podcast Publisher für WordPress ist für das Hochladen beliebiger Dateien anfällig, weil in der Funktion podlove_handle_cache_files eine Prüfung des Dateityps fehlt. Betroffen sind laut Quelle alle Versionen bis zu einer nicht vollständig bezifferten korrigierten Fassung. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H – aus dem Netz ohne Rechte und ohne Nutzerinteraktion ausnutzbar. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin WordPress File Upload ist bis einschliesslich Version 4.24.15 über die Datei wfu_file_downloader.php anfällig für Remotecodeausführung, beliebiges Datei-Lesen und beliebiges Datei-Löschen. Ursache ist die fehlende Bereinigung des Parameters source und die Zulassung eines nutzerdefinierten Verzeichnispfads, was nicht authentifizierten Angreifern die Codeausführung erlaubt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Das WordPress-Plugin WordPress File Upload ist bis einschliesslich Version 4.24.12 über den Cookie-Parameter wfu_ABSPATH für Remotecodeausführung anfällig. Dadurch können nicht authentifizierte Angreifer Code auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf eine fehlerbereinigte Plugin-Version.

Das WordPress Auction Plugin bereinigt und maskiert in Versionen bis einschliesslich 3.7 einen Parameter nicht, bevor dieser in einer SQL-Anweisung verwendet wird. Dadurch können Benutzer mit Editor-Rechten oder höher SQL-Injection-Angriffe durchführen. CVSS-Basiswert: 9.8 (Kritisch).

In der WordPress-Erweiterung WPLMS von VibeThemes erlaubt eine Schwachstelle das Hochladen von Dateien eines gefährlichen Typs, wodurch eine Web-Shell auf den Server geladen werden kann. Betroffen ist WPLMS bis einschliesslich Version 1.9.9. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: die Erweiterung auf eine fehlerbereinigte Version aktualisieren.

Im WordPress-Plugin WPLMS von VibeThemes besteht eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl. Betroffen ist WPLMS von einer nicht naeher genannten Version bis vor Version 1.9.9.5.3. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.

Eine Schwachstelle durch falsche Rechtevergabe (Incorrect Privilege Assignment) im WordPress-Plugin WPLMS von VibeThemes erlaubt eine Rechteausweitung. Betroffen sind Versionen bis einschliesslich 1.9.9. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal im WPLMS-Plugin (wplms_plugin) von VibeThemes, die eine Umgehung der Authentifizierung ermöglicht. Betroffen ist WPLMS bis einschliesslich Version 1.9.9. CVSS-Basiswert: 9.8 (Kritisch).

Im WordPress-Plugin WPLMS von VibeThemes besteht eine Path-Traversal-Schwachstelle. Betroffen sind alle Versionen bis einschliesslich vor 1.9.9.5, wodurch Angreifer über manipulierte Pfadangaben auf ausserhalb des vorgesehenen Verzeichnisses liegende Dateien zugreifen können. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung von WPLMS auf Version 1.9.9.5 oder neuer.

Das WordPress-Plugin WPLMS von VibeThemes erlaubt bis einschliesslich Version 1.9.9.5.2 den unbeschränkten Upload von Dateien gefährlichen Typs, wodurch eine Web-Shell auf den Server hochgeladen werden kann. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Im WordPress-Plugin WPLMS von VibeThemes erlaubt eine Schwachstelle durch uneingeschränkten Upload von Dateien mit gefährlichem Typ das Hochladen einer Web-Shell auf den Webserver. Betroffen sind Versionen bis einschliesslich vor 1.9.9.5.2. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Im WordPress-Plugin WPLMS von VibeThemes erlaubt eine Schwachstelle das unbeschränkte Hochladen von Dateien mit gefährlichem Typ, wodurch eine Web-Shell auf den Server geladen werden kann. Betroffen sind Versionen bis einschliesslich < 1.9.9.5.3. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Im WordPress-Plugin WPLMS von VibeThemes besteht ein unbeschraenkter Upload von Dateien mit gefährlichem Typ, der das Hochladen einer Web-Shell auf den Server erlaubt. Betroffen sind laut Quelle die Versionen bis vor 1.9.9.5.2. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine bereinigte Plugin-Version.

Das Plugin WPGYM - Wordpress Gym Management System für WordPress ist in allen Versionen bis einschliesslich 67.1.0 anfällig für das Hochladen beliebiger Dateien, da in der Funktion MJ_gmgt_user_avatar_image_upload() eine Prüfung des Dateityps fehlt. Dadurch können nicht authentifizierte Angreifer beliebige Dateien auf den Server der betroffenen Website hochladen, was eine Remotecodeausführung ermöglichen kann. CVSS-Basiswert: 9.8 (Kritisch).

Im WordPress-Plugin WordPress Video Robot - The Ultimate Video Importer besteht eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in SQL-Befehlen. Angreifer können damit eigene Datenbankabfragen einschleusen. CVSS-Basiswert: 9.3 (Kritisch). Betroffen sind Versionen bis einschliesslich 1.20.0. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren, sobald verfügbar.

Das WordPress-Theme WPLMS Learning Management System ist bis einschliesslich Version 4.962 durch unzureichende Pfadvalidierung und fehlende Berechtigungsprüfungen anfällig für beliebiges Datei-Lesen und -Löschen. Nicht authentifizierte Angreifer können so Dateien löschen, was durch Löschen etwa der wp-config.php leicht zu einer Remotecodeausführung führen kann; das Theme ist auch im nicht aktivierten Zustand betroffen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Herstellerupdates einspielen.

Das Plugin WordPress File Upload ist in allen Versionen bis einschliesslich 4.24.11 über die Datei wfu_file_downloader.php für Path Traversal anfällig. Nicht authentifizierte Angreifer können dadurch Dateien ausserhalb des vorgesehenen Verzeichnisses lesen oder löschen. Eine erfolgreiche Ausnutzung setzt voraus, dass die betroffene WordPress-Installation PHP 7.4 oder älter verwendet. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin Simple HTML Sitemap ist laut NVD in allen Versionen bis einschliesslich 3.1 über den Parameter id für SQL-Injection anfällig, weil die Benutzereingabe unzureichend maskiert und die Abfrage nicht ausreichend vorbereitet wird. Authentifizierte Angreifer mit Administratorrechten oder höher können dadurch zusätzliche SQL-Abfragen anhängen und sensible Datenbankinhalte auslesen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Das WordPress-Plugin MDTF (Meta Data and Taxonomies Filter) ist bis einschliesslich Version 1.3.3.3 über das meta_key-Attribut des mdf_select_title-Shortcodes für SQL-Injection anfällig. Authentifizierte Angreifer ab Contributor-Rechten können zusätzliche SQL-Abfragen einschleusen und sensible Datenbankinhalte auslesen. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

Das WordPress-Plugin GEO my WP vor Version 4.5.0.2 verhindert nicht, dass nicht authentifizierte Angreifer beliebige Dateien in den PHP-Ausführungskontext einbinden. Dies führt zu einer Remotecodeausführung. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf GEO my WP 4.5.0.2 oder neuer.

Das WordPress-Plugin Database Administrator bis Version 1.0.3 bereinigt und maskiert einen Parameter nicht ordnungsgemäss, bevor er in einer SQL-Anweisung verwendet wird. Da die betroffene AJAX-Aktion auch für nicht authentifizierte Benutzer verfügbar ist, führt dies zu einer SQL-Injection. CVSS-Basiswert: 9.8 (Kritisch).

Eine unzureichende Kontrolle der Code-Erzeugung (Code Injection) in Kanban Boards for WordPress. Betroffen sind Versionen bis einschliesslich 2.5.21. CVSS-Basiswert: 9.1 (Kritisch).