Podatności JoomSport

Wtyczka JoomSport dla WordPressa w wersjach do 5.7.14 włącznie jest podatna na wstrzyknięcie SQL przez parametr 'pgroup' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelniony atakujący z rolą współautora lub wyższą może dołączać dodatkowe zapytania SQL i wydobywać poufne informacje z bazy danych.

Wtyczka JoomSport dla WordPressa w wersjach do 5.7.11 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'team_id' z powodu niewystarczającej ucieczki danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia poufnych informacji z bazy danych. Podatna ścieżka kodu jest osiągana, gdy sezon nie ma powiązanego terminu joomsport_tournament, co jest stanem domyślnym dla nowo utworzonych sezonów.

Wtyczka JoomSport dla WordPressa do wersji 5.7.9 włącznie jest podatna na czasową iniekcję SQL przez atrybut 'event' shortcode'u. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie dodatkowych zapytań SQL.

Wtyczka JoomSport dla WordPressa do wersji 5.7.8 zawiera podatność polegającą na pominięciu autoryzacji. Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym tworzenie dowolnych grup sezonów oraz modyfikację istniejących nazw grup, uczestników i opcji rund. Wykorzystanie podatności wymaga uzyskania nonce (joomsportajaxnonce), które jest ujawniane na stronach frontendowych renderujących shortcode JoomSport.

Wtyczka JoomSport dla WordPressa do wersji 5.7.8 włącznie zawiera lukę braku autoryzacji w funkcji AJAX joomsport_season_groupdel(). Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym usunięcie dowolnych grup JoomSport bez wymaganej kontroli uprawnień.