Das WordPress-Plugin TableOn (posts-table-filterable) bis und mit Version 1.0.7 enthält eine Reflected-Cross-Site-Scripting-Schwachstelle (CWE-79). Ein Angreifer kann einen Link oder eine Seite präparieren, mit der bösartige Skripte in die Website eingeschleust werden, die im Browser eines Besuchers ausgeführt werden. Voraussetzung ist, dass ein Benutzer, zum Beispiel ein angemeldeter Administrator, den präparierten Link anklickt oder die präparierte Seite besucht.
PluginUs.Net · TableOn
Das Bulk-Editor-Plugin WOLF für WordPress enthält eine Blind-SQL-Injection-Schwachstelle (CWE-89) in den Versionen bis und mit 1.1.1. Ein authentifizierter Benutzer mit hohen Berechtigungen, laut Patchstack die Rolle Editor, kann über das Netzwerk SQL-Befehle einschleusen. Dadurch können Datenbankinhalte gelesen, verändert oder gelöscht werden, einschliesslich Benutzerkonten und privater Daten. Der CVSS-Wert von 7.6 stammt vom CNA Patchstack, während VulDB die Schwachstelle mit 4.7 tiefer einstuft.
PluginUs.Net · WOLF
Das WordPress-Plugin BEAR für die WooCommerce-Produktverwaltung in den Versionen bis einschliesslich 1.2.2 enthält eine fehlerhafte Zugriffskontrolle (CWE-862). Ein nicht angemeldeter Angreifer aus dem Netzwerk kann auf Funktionen zugreifen, die ihm nicht zustehen, etwa auf Daten anderer Benutzer. Der CVE-Eintrag stuft die Schwachstelle als hoch ein (CVSS 3.1 7.3), mit geringen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Patchstack erwartet eine Ausnutzung, eine bestätigte Ausnutzung ist jedoch nicht gemeldet.
Pluginus.Net · BEAR
