در حال حاضر چندین آسیب‌پذیری از جمله CVE-۲۰۲۱-۲۴۸۶۶ و CVE-۲۰۲۱-۲۴۹۳۱ در پلاگین‌های WordPress شناسایی شده است که امکان حمله SQL Injection، XSS، CSRF و … را برای مهاجم فراهم می‌کند. افزونه WP Data Access WordPress قبل از نسخه 5.0.0 قبل از استفاده از دستور SQL به درستی پاکسازی نمی‌شود و از پارامتر backup_date عبور نمیکند، که منجر به مشکل تزریق SQL می‌شود و می‌تواند اجازه حذف دلخواه جدول را نیز بدهد.
افزونه ثبت نام برای رویدادهای تقویم وردپرس در نسخه‌های قبل از 2.7.6 پیش از استفاده از آن در بیانیه SQL، رویداد_id را در عمل rtec_send_unregister_link AJAX (که برای کاربران احراز هویت نشده و احراز هویت شده در دسترس است) پاکسازی نمی کند و منجر به تزریق SQL از فرد احراز هویت نشده می شود.
افزونه وردپرس Tawk.To Live Chat قبل از نسخه 0.6.0 دارای قابلیت و بررسی CSRF در عملکردهای tawkto_setwidget و tawkto_removewidget AJAX نیست که کاملا در دسترس هر کاربر تأیید شده است. اولین مورد به کاربران با امتیاز پایین (از جمله مشترکین ساده) اجازه می دهد تا پارامترهای “tawkto-embed-widget-page-id” و “tawkto-embed-widget-widget-id” را تغییر دهند. بنابراین هر کاربر احراز هویت شده می‌تواند وب سایت آسیب پذیر را به نمونه Tawk.to خود پیوند دهد. در نتیجه، آنها می توانند وب سایت آسیب پذیر را زیر نظر داشته و با بازدیدکنندگان آن (دریافت پیام های تماس، پاسخ، …) تعامل داشته باشند. آنها همچنین می توانند یک پایگاه دانش دلخواه را نمایش دهند. مورد دوم ویجت چت زنده را از صفحات حذف می کند.
افزونه WPS Hide Login WordPress نیز قبل از نسخه 1.9.1 دارای یک اشکال است که به شما امکان می دهد با تنظیم یک رشته ارجاع تصادفی و ارسال درخواست به /wp-admin/options.php به عنوان یک کاربر تأیید نشده، صفحه ورود مخفی را دریافت کنید!. ضمن اینکه افزونه Email Log وردپرس قبل از 2.4.8 از پارامتر d قبل از خروجی مجدد آن در یک ویژگی در صفحه Log فرار نمی کند، که منجر به یک مشکل Reflected Cross-Site Scripting می شود.
برای حل مشکلات مطرح شده افزونه های خود را به روز رسانی کنید
