Podatności affiliate-toolkit WordPress plugin

Wtyczka affiliate-toolkit dla WordPressa jest podatna na dowolne przesyłanie plików poprzez funkcję upload_image. Z powodu słabej walidacji typu pliku (sprawdzanie prefiksu Content-Type i wyprowadzanie rozszerzenia ze ścieżki URL kontrolowanej przez atakującego) uwierzytelniony atakujący z poziomem Contributor lub wyższym może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Wykorzystanie wymaga włączonej opcji importu obrazów produktów.

Wtyczka WordPress affiliate-toolkit w wersji przed 3.8.9 nie waliduje wartości sortowania podanej przez użytkownika względem listy dozwolonych przed użyciem jej w zapytaniu do bazy danych, a ekran listy administracyjnej wymaga jedynie niższych uprawnień niż administrator. Umożliwia to użytkownikom z dostępem na poziomie edytora i wyższym przeprowadzenie wstrzyknięcia SQL i odczyt dowolnych informacji z bazy danych. W trybie multisite edytor podwitryny może odczytać globalną tabelę użytkowników sieci, w tym hash hasła superadministratora.

Wtyczka affiliate-toolkit dla WordPressa przed wersją 3.9.1 nie uniemożliwia użytkownikowi z niskimi uprawnieniami dostarczenia treści szablonu, którą jej wbudowany silnik szablonów kompiluje i wykonuje jako PHP, co pozwala użytkownikom z rolą Współautor lub wyższą na uruchamianie dowolnego kodu PHP na serwerze.

Wtyczka affiliate-toolkit dla WordPressa, do wersji 3.8.8 włącznie, jest podatna na czasowe wstrzyknięcie SQL przez parametr 'orderby'. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych.