Alta

Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update

Publicada: 25.02.2019
Actualizado: 11.10.2026 10:22

The Freemius SDK for WordPress is vulnerable to authorization bypass due to a missing capability check on the _get_db_option and _set_db_option functions in versions up to, and including, 2.2.3. This makes it possible for authenticated attackers, with subscriber-level permissions and above, to change site settings and potentially take over the site.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Plugin de WordPress	404 to 301 – Redirect Manager, 301 Redirection, 404 Error Logs & 404 Monitoring	< 3.0.2	3.0.2
Plugin de WordPress	Addendio LITE – Find WordPress plugins and themes	<= 1.2.2	sin corrección
Plugin de WordPress	Livemesh Addons by Elementor	< 2.6	2.6
Plugin de WordPress	Add Pinterest conversion tags for Pinterest Ads + Site verification	< 1.0.2	1.0.2
Plugin de WordPress	Ant Admin Notices for Team	< 1.0.4	1.0.4
Plugin de WordPress	Advanced Classifieds & Directory Pro	< 1.6.3	1.6.3
Plugin de WordPress	WordPress Animation Plugin – Animated Everything	<= 1.3.2	sin corrección
Plugin de WordPress	Any Popup – Popup Forms, Optins & Ads	<= 1.0	sin corrección
Plugin de WordPress	a-staff – Team member showcase plugin for WordPress	<= 1.2.2	sin corrección
Plugin de WordPress	Automatic Post Categories	<= 1.0	sin corrección
Plugin de WordPress	Before and After Product Images for WooCommerce	<= 1.0.3	sin corrección
Plugin de WordPress	Product Feed Manager for WooCommerce – RexFeed – Sell on 200+ Shopping Channels	< 2.2.3.1	2.2.3.1
Plugin de WordPress	Better Robots.txt – AI-Ready Crawl Control & Bot Governance	< 1.2.6	1.2.6
Plugin de WordPress	BuddyForms	< 2.3.2	2.3.2
Plugin de WordPress	BuddyForms EasyPin	<= 1.0.1	sin corrección
Plugin de WordPress	ClimateClick: Climate Action for all	<= 1.0.9.21	1.0.9.22
Plugin de WordPress	Webheadcoder Multi-Step Forms for Contact Form 7	< 3.0.9	3.0.9
Plugin de WordPress	Content Aware Sidebars – Fastest Widget Area Plugin	< 3.8.1	3.8.1
Plugin de WordPress	Content Collector	<= 1.1.1	sin corrección
Plugin de WordPress	CP Image Gallery	<= 1.0.1	sin corrección
Plugin de WordPress	CP Simple Newsletter	<= 1.1	sin corrección
Plugin de WordPress	Cryptocurrency Portfolio Tracker	<= 0.0.17	sin corrección
Plugin de WordPress	Customer Chat Facebook	<= 1.1.1	sin corrección
Plugin de WordPress	Custom Registration and Custom Login Forms with New Recaptcha	<= 1.1	sin corrección
Plugin de WordPress	Delete Duplicate Posts	< 4.1.9.5	4.1.9.5
Plugin de WordPress	DeMomentSomTres Address	<= 2.1	sin corrección
Plugin de WordPress	DeMomentSomTres Categories	<= 201704251008	sin corrección
Plugin de WordPress	DeMomentSomTres Classify on Publish	<= 201703020805	sin corrección
Plugin de WordPress	DeMomentSomTres Grid Archive	<= 2.1	sin corrección
Plugin de WordPress	DeMomentSomTres Media Tools Auto	<= 2.0	sin corrección
Plugin de WordPress	Device Frame	<= 1.0.0	sin corrección
Plugin de WordPress	Drop Shadow Boxes	< 1.7.2	1.7.2
Plugin de WordPress	Easy Code Snippets	< 1.0.1	1.0.1
Plugin de WordPress	Easy Watermark	< 0.7.1	0.7.1
Plugin de WordPress	Easy Digital Downloads – Courses	< 0.1.1	0.1.1
Plugin de WordPress	EDD Tab Manager	< 1.3.1	1.3.1
Plugin de WordPress	enhanced-catalog-images-for-woocommerce	<= 1.0.1	sin corrección
Plugin de WordPress	Error Log Monitor	< 1.6.5	1.6.5
Plugin de WordPress	Expire tags	<= 1.1	sin corrección
Plugin de WordPress	Fast WordPress	<= 1.0.3	sin corrección
Plugin de WordPress	FIT: Featured Image Toolkit	<= 1.0.3	sin corrección
Plugin de WordPress	Get feedback from visitors – WP Feedback Suite Plugin	<= 1.0.5	sin corrección
Plugin de WordPress	Image Photo Gallery Final Tiles Grid	< 3.3.57	3.3.57
Plugin de WordPress	Lightbox & Modal Popup WordPress Plugin – FooBox	< 2.6.4	2.6.4
Plugin de WordPress	FooGallery Photo Gallery : Image, Video & Masonry Galleries	< 1.6.17	1.6.17
Plugin de WordPress	freemage	<= 1.0	sin corrección
Plugin de WordPress	WordPress Cloaking – Show & Create Geo-Targeted Custom HTML Plugin – GeoRequest	<= 0.1.9	sin corrección
Plugin de WordPress	GFireM Action After	<= 1.1.6	sin corrección
Plugin de WordPress	GFireM Advance Search	<= 1.2.2	sin corrección
Plugin de WordPress	GFireM Fields	<= 1.1.7	sin corrección
Plugin de WordPress	Simple Giveaways – Grow your business, email lists and traffic with contests	< 2.18.0	2.18.0
Plugin de WordPress	Giveaways for woocommerce	<= 1.0.0	sin corrección
Plugin de WordPress	Global Income Stats from Freemius	<= 1.0.0	sin corrección
Plugin de WordPress	go-fetch-jobs-jobengine	<= 1.0	sin corrección
Plugin de WordPress	Gravity Forms Sticky List	<= 1.5.2	sin corrección
Plugin de WordPress	Helpie FAQ — Accordion, Docs & Knowledge Base	< 0.7.2	0.7.2
Plugin de WordPress	Import Social Statistics	<= 1.0.2	sin corrección
Plugin de WordPress	Inbound Brew	<= 1.9.4	sin corrección
Plugin de WordPress	Insert or Embed Articulate Content into WordPress	< 4.2997	4.2997
Plugin de WordPress	Kanzu Support Desk – WordPress Helpdesk Plugin	<= 2.4.7	sin corrección
Plugin de WordPress	KRSP Frontend File Uploader	<= 1.0	sin corrección
Plugin de WordPress	Livemesh SiteOrigin Widgets	< 2.5.2	2.5.2
Plugin de WordPress	Master Blocks – Gutenberg Site Builder	<= 1.0.4	sin corrección
Plugin de WordPress	WP Mobile Menu – The Mobile-Friendly Responsive Menu	< 2.7.3	2.7.3
Plugin de WordPress	Multilist Subscribe for Sendy	<= 1.6.1	sin corrección
Plugin de WordPress	Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery	< 3.1.7	3.1.7
Plugin de WordPress	WooCommerce Next Order Coupon	<= 0.4.0	sin corrección
Plugin de WordPress	NEXUS	<= 2.0	sin corrección
Plugin de WordPress	Nitek Carousel Slider Cool Transitions	<= 1.1.0	sin corrección
Plugin de WordPress	Nugget by Ingot: Easy, automated and native A/B testing for everyone	<= 1.0.0	sin corrección
Plugin de WordPress	One Page Blocks	<= 1.0.0	sin corrección
Plugin de WordPress	Page Studio Lite Plugin	<= 1.0.6	sin corrección
Plugin de WordPress	Past Events Extension	<= 1.0.1	sin corrección
Plugin de WordPress	Perelandra Sermons	<= 1.1.0	sin corrección
Plugin de WordPress	Popup Maker – Boost Sales, Conversions, Optins, Subscribers with the Ultimate WP Popup Builder	< 1.8.3	1.8.3
Plugin de WordPress	Post Snippets – Custom WordPress Code Snippets Customizer	< 3.0.6	3.0.6
Plugin de WordPress	Premmerce Product Filter for WooCommerce	< 3.2	3.2
Plugin de WordPress	Premmerce Variation Swatches for WooCommerce	< 1.1	1.1
Plugin de WordPress	Premmerce Wholesale Pricing for WooCommerce	< 1.1.4	1.1.4
Plugin de WordPress	Premmerce Wishlist for WooCommerce	< 1.1.3	1.1.3
Plugin de WordPress	Press Elements – Widgets for Elementor	<= 1.7.2	sin corrección
Plugin de WordPress	Price Bands for WooCommerce	<= 1.0.4	sin corrección
Plugin de WordPress	Product Tables for WooCommerce: Quickster	<= 1.0.2	sin corrección
Plugin de WordPress	Random Sorting Order for WooCommerce	<= 1.0	sin corrección
Plugin de WordPress	Contact Form for WordPress- Cybrosys	<= 5.0	sin corrección
Plugin de WordPress	Remove WP Update Nags	< 1.4.0	1.4.0
Plugin de WordPress	Online Booking for Barbershops and Salons	<= 1.0.0	sin corrección
Plugin de WordPress	Affiliate Link Builder Plugin for Amazon Associates – Review Engine	<= 1.0.41	sin corrección
Plugin de WordPress	WordPress Reviews by ReviewPress	<= 1.0.5	sin corrección
Plugin de WordPress	Revolution for Elementor	<= 0.0.19	sin corrección
Plugin de WordPress	MailChimp Manager	<= 1.0.2	sin corrección
Plugin de WordPress	Run time Image resizing	<= 1.1	sin corrección
Plugin de WordPress	RW Divi Unite Gallery	<= 1.0	sin corrección
Plugin de WordPress	Content Slider for WP Posts (Section Slider)	todas las versiones	sin corrección
Plugin de WordPress	WP Author Bio	<= 1.5.5	sin corrección
Plugin de WordPress	SheetPress – Manage WordPress Meta data with Google Sheets	<= 1.1	sin corrección
Plugin de WordPress	SnazzyAdmin WP Admin Theme	<= 1.0.2	sin corrección
Plugin de WordPress	Social Gallery Lite	<= 3.1	sin corrección
Plugin de WordPress	Sprout Clients – CRM and Lead Management	<= 3.1	3.2
Plugin de WordPress	Starfish Review Generation & Marketing for WordPress	< 2.0.1	2.0.1
Plugin de WordPress	Stop User Enumeration	< 1.3.20	1.3.20
Plugin de WordPress	TinyMCE Annotate	<= 1.1.2	sin corrección
Plugin de WordPress	Turbo Widgets	<= 2.0.0	sin corrección
Plugin de WordPress	FTC Disclosure	<= 2.0	sin corrección
Plugin de WordPress	Social Share Icons & Social Share Buttons	< 3.0.4	3.0.4
Plugin de WordPress	Ultimate Widgets Light	<= 1.5.9.4	sin corrección
Plugin de WordPress	Ultimeter – the Ultimate Progress and Goals Meter	< 1.9.3	1.9.3
Plugin de WordPress	BuddyPress Integration for WooCommerce	< 3.2.6.1	3.2.6.1
Plugin de WordPress	Funnelmentals	< 1.2.9	1.2.9
Plugin de WordPress	wGauge – Free Version	<= 1.0.0	sin corrección
Plugin de WordPress	Widgets for SiteOrigin	< 1.4.3	1.4.3
Plugin de WordPress	Widgets on Pages and Posts	<= 1.4.0	sin corrección
Plugin de WordPress	Woo Admin Product Notes	<= 1.0.0	sin corrección
Plugin de WordPress	WooRocks Magic Content	<= 1.0.17	sin corrección
Plugin de WordPress	Magic Content for Siteorigins Pagebuilder	<= 1.0.1	sin corrección
Plugin de WordPress	WP Advanced Comment	<= 0.3	sin corrección
Plugin de WordPress	WP Affiliate Disclosure	< 1.1.4	1.1.4
Plugin de WordPress	wp-buddha-free-adwords	<= 1.0.0	sin corrección
Plugin de WordPress	WP fail2ban – Advanced Security	< 4.0.5	4.0.5
Plugin de WordPress	WP Munich Blocks – Gutenberg Blocks for WordPress	< 0.7.3	0.7.3
Plugin de WordPress	WP Photo Effects	< 1.2.3	1.2.3
Plugin de WordPress	WP Private Media	<= 1.0.1	sin corrección
Plugin de WordPress	WP Pro Counter	<= 1.1	sin corrección
Plugin de WordPress	WP Relevant Ads	<= 1.0.0	sin corrección
Plugin de WordPress	WP Activity Log	< 3.3.1.2	3.3.1.2
Plugin de WordPress	BAVOKO SEO Tools – All-in-One WordPress SEO	< 2.1.9.8	2.1.9.8
Plugin de WordPress	XPoster – Share to Bluesky and Mastodon	< 3.3.0	3.3.0
Plugin de WordPress	WordPress FAQ Plugin – WPWorx	<= 2.0.0	sin corrección
Tema de WordPress	Bani	<= 1.0.7	sin corrección
Tema de WordPress	Brand	<= 1.9.1	sin corrección
Tema de WordPress	ConsultPress Lite	<= 1.2.3	sin corrección
Tema de WordPress	Purus	<= 1.2.2	sin corrección
Tema de WordPress	Shuban	<= 1.1.2	sin corrección
Tema de WordPress	Speculor	<= 1.2.0	sin corrección

Referencias

https://www.wordfence.com/threat-intel/vulnerabilities/id/3fda31fa-efc9-44b9-99ba-9e3e23aa2ee0?source=api-prod

Puntuación CVSS 8.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-862
Plataforma: WordPress
Paquete: 404 to 301 – Redirect Manager, 301 Redirection, 404 Error Logs & 404 Monitoring, Addendio LITE – Find WordPress plugins and themes, Livemesh Addons by Elementor
Publicada: 25.02.2019
Actualizado: 11.10.2026 10:22

Fuentes y licencias

Wordfence Intelligence - 3fda31fa-efc9-44b9-99ba-9e3e23aa2ee0 - Wordfence Intelligence

This record contains material that is subject to copyright

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy.

https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/

Wordfence Intelligence

Wordfence Intelligence - Defiant, Inc.
Copyright Defiant, Inc. All rights reserved except as granted below.
License grant, section 3.1 of the Wordfence Intelligence Terms and Conditions (January 26, 2026):

Subject to this Agreement, Company hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute the Service. Any copy you make for such purposes is authorized provided that you reproduce Company’s copyright designation, this license, and the license of any disclosed Company licensor in any such copy.

Full applicable Agreement: https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/

Historial de vulnerabilidades: 404 to 301 – Redirect Manager, 301 Redirection, 404 Error Logs & 404 Monitoring

Todas las vulnerabilidades publicadas de este paquete (Plugin de WordPress), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 7
Primera → última: 08.2015 07.2023
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 2
Media 4

Divulgaciones por año

2017: 0
2018: 0
2019: 1
2020: 0
2021: 2
2022: 1
2023: 1
2024: 0
2025: 0
2026: 0

antes: 2

18.07.2023

Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

Media · 6.1 CVE-2023-33999 <= 3.0.5 3.0.6
07.06.2022

404 to 301 – Redirect, Log and Notify 404 Errors <= 3.1.1 - Reflected Cross-Site Scripting

Media · 6.1 11177270-cc73-4c65-9f72-8c0a0a89bed5 <= 3.1.1 3.1.2
11.10.2021

404 to 301 <= 3.0.8 - Logs Deletion via Cross-Site Request Forgery

Media · 6.5 CVE-2021-24766 < 3.0.9 3.0.9
18.06.2021

404 to 301 <= 3.0.7 - Missing Authorization to Redirect Creation

Media · 6.4 CVE-2021-4338 <= 3.0.7 3.0.8
25.02.2019

Freemius SDK <= 2.2.3 - Missing Authorization to Arbitrary Options Update esta entrada

Alta · 8.8 3fda31fa-efc9-44b9-99ba-9e3e23aa2ee0 < 3.0.2 3.0.2
27.08.2016

404 to 301 <= 2.3.0 - Unauthenticated Stored Cross-Site Scripting

Alta · 7.2 28624634-9161-4da7-89f3-88ce1d38c3ea <= 2.3.0 2.3.1
20.08.2015

404 to 301 – Redirect, Log and Notify 404 Errors <= 2.0.2 - SQL Injection

Crítica · 9.8 CVE-2015-9323 < 2.0.3 2.0.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación