¿Es seguro Dynamic Widgets?

Qué hace este plugin

• Slug: dynamic-widgets
• 10000+ instalaciones activas

conditionDynamiclogicruleswidget

Estado de mantenimiento

• Última versión conocida: 1.6.6
• Requiere PHP: 5.2.7+
• PHP máximo soportado (analizado): 8.4

Vulnerabilidades conocidas

5 CVEs conocidos registrados para Dynamic Widgets. Reportadas entre 2012 y 2024.

CVE-2024-51669

The Dynamic Widgets plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.6.4. This is due to missing or incorrect nonce validation on several functions. This makes it possible for unauthenticated attackers to perform an unauthorized action via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: Wordfence

CVE-2021-24933

The Dynamic Widgets WordPress plugin through 1.5.16 does not escape the prefix parameter before outputting it back in an attribute when using the term_tree AJAX action (available to any authenticated users), leading to a Reflected Cross-Site Scripting issue

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: CVE.org

Dynamic Widgets [dynamic-widgets] < 1.5.11

Because of this vulnerability, the attackers can inject arbitrary JavaScript or HTML code. Update the plugin.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: Patchstack

CVE-2015-10100

A vulnerability, which was classified as critical, has been found in Dynamic Widgets Plugin up to 1.5.10 on WordPress. This issue affects some unknown processing of the file classes/dynwid_class.php. The manipulation leads to sql injection. The attack may be initiated remotely. Upgrading to version 1.5.11 is able to address this issue. The identifier of the patch is d0a19c6efcdc86d7093b369bc9e29a0629e57795. It is recommended to upgrade the affected component. The identifier VDB-225353 was assigned to this vulnerability. [de] Eine Schwachstelle wurde in Dynamic Widgets Plugin bis 1.5.10 für WordPress entdeckt. Sie wurde als kritisch eingestuft. Betroffen davon ist ein unbekannter Prozess der Datei classes/dynwid_class.php. Durch das Manipulieren mit unbekannten Daten kann eine sql injection-Schwachstelle ausgenutzt werden. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Ein Aktualisieren auf die Version 1.5.11 vermag dieses Problem zu lösen. Der Patch wird als d0a19c6efcdc86d7093b369bc9e29a0629e57795 bezeichnet. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: CVE.org

CVE-2015-9437

The dynamic-widgets plugin before 1.5.11 for WordPress has CSRF with resultant XSS via the wp-admin/themes.php?page=dynwid-config page_limit parameter.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: CVE.org

CVE-2015-9436

The dynamic-widgets plugin before 1.5.11 for WordPress has XSS via the wp-admin/admin-ajax.php?action=term_tree prefix or widget_id parameter.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: CVE.org

Dynamic Widgets [dynamic-widgets] < 1.5.2

WordPress PodPress plugin's "themes.php" is prone to a cross-site scripting vulnerability. It fails to properly clean up user-supplied input. An attacker may execute arbitrary script code in the browser of an user in the context of the affected site. In this way the attacker can steal cookie-based authentication credentials. Other attacks are also possible. Update the plugin.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: Patchstack

Dynamic Widgets [dynamic-widgets] < 1.5.2

The Dynamic Widgets plugin for WordPress is vulnerable to Cross-Site Scripting in versions up to, and including, 1.5.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that execute in a victim's browser.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: Wordfence

+ 1 vulnerabilidad conocida más

CVE	Vulnerabilidad	Tipo	Gravedad	Afectadas	Corregido en	Publicado	Estado
—	Dynamic Widgets [dynamic-widgets] < 1.5.2	—	Desconocido	< 1.5.2	1.5.2	—	✓ corregido en la última versión

Dynamic Widgets [dynamic-widgets] < 1.5.2

The Dynamic Widgets WordPress plugin was affected by a Cross-Site Scripting (XSS) security vulnerability.

Descripción técnica mostrada en el idioma original de la fuente (inglés).

Fuente: WPScan

Cómo solucionarlo

Mantén Dynamic Widgets actualizado — 1.6.6 es la última versión en wordpress.org, y cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en").

Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.

Alternativas más seguras / más establecidas

• Dynamic Conditions — 60000+ instalaciones activas — 96/100 (114) — PHP máx. 8.4
• Login or Logout Menu Item — 20000+ instalaciones activas — 96/100 (23) — PHP máx. 8.4
• WP Display Header — 7000+ instalaciones activas — 90/100 (27) — PHP máx. 8.4
• JC Submenu — 4000+ instalaciones activas — 92/100 (49)
• Dynamic Year Block – display a copyright notice in your footer with the current year — 2000+ instalaciones activas — 100/100 (7)