Podatności Kirki

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).

Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.

Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.

Wtyczka Kirki dla WordPressa w wersjach przed 6.2.5 zawiera podatność pozwalającą ominąć reCAPTCHA. Nieuwierzytelniony atakujący może przesyłać formularze frontendowe bez ważnej weryfikacji, pomijając pole g-recaptcha-token w żądaniach POST, ponieważ metoda verify() zwraca wcześnie dla pustych wartości tokenu.

Wtyczka WordPress Kirki w wersjach do 6.4.0 zawiera podatność związaną z niewłaściwą neutralizacją tagów HTML powiązanych ze skryptami (podstawowy XSS), co umożliwia wstrzyknięcie kodu. Problem dotyczy wersji od początku istnienia do 6.4.0 włącznie.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'context' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym ujawnienie danych profilowych dowolnych użytkowników, w tym adresu e-mail, nazwy wyświetlanej, daty rejestracji, adresu URL zdjęcia profilowego oraz pól meta użytkownika.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa w wersjach do 6.3.2 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych wejściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie obiektu PHP; domyślnie użytkownicy na poziomie Editor mają pełny dostęp do endpointu importu wtyczki.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez treść tekstową Page Builder we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 6.3.1 włącznie. Wynika to z podstawienia nazwy wyświetlanej użytkownika (display_name) do komponowanego znacznika strony bez filtrowania i przetworzenia całości przez do_shortcode().

Podatność w Kirki do wersji 6.3.1 polegająca na nieprawidłowej walidacji określonej ilości w danych wejściowych. Umożliwia dostęp do funkcji nieodpowiednio ograniczonych przez ACL.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy użytkownik ma uprawnienia do działania na komentarzu współpracy przed zmianą jego stanu, umożliwiając użytkownikom, którym administrator przyznał dostęp do treści na poziomie strony, modyfikowanie komentarzy pozostawionych przez innych użytkowników, w tym na stronach, których sami nie mogą otworzyć.

Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie escapuje identyfikatora dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, umożliwiając użytkownikom z rolą edytora lub wyższą dołączanie dowolnego SQL i odczytywanie zawartości bazy danych, w tym danych uwierzytelniających użytkowników.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Kirki WordPress przed wersją 6.2.3 nieprawidłowo waliduje pliki w archiwach przesyłanych przez użytkowników z rolą Editor i nie usuwa wszystkich niepożądanych plików po rozpakowaniu, co pozwala takim użytkownikom na przesyłanie dowolnych plików do katalogu dostępnego z sieci, prowadząc do Stored XSS oraz RCE na niektórych konfiguracjach serwera.

Nieuwierzytelniony atak XSS w bibliotece Kirki w wersjach do 6.2.3. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.1.1 włącznie jest podatna na obejście autoryzacji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie custom-level na odczyt dowolnych metadanych użytkownika i wrażliwych pól, takich jak adres e-mail, role, data rejestracji i wartości user_meta, należących do dowolnego użytkownika, w tym administratorów.

Wtyczka Kirki dla WordPressa do wersji 6.1.1 włącznie jest podatna na Directory Traversal przez parametr 'data'. Uwierzytelnieni atakujący z dostępem edytora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, w tym wrażliwe informacje, omijając zabezpieczenie oparte na strpos() poprzez osadzenie sekwencji traversal w URL.

Wtyczka Kirki dla WordPressa przed wersją 6.2.1 nie autoryzuje poprawnie swoich tras REST do przesyłania formularzy z front-endu i przekazuje dane kontrolowane przez atakującego do wykonania shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie, co w domyślnej instalacji prowadzi do ujawnienia adresu e-mail administratora witryny i umożliwia wysyłkę poczty do dowolnego odbiorcy z domeny ofiary.

Wtyczka Kirki dla WordPressa (w wersjach do 6.2.0 włącznie) jest podatna na przechowywany atak XSS przez shortcode post_meta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka Kirki dla WordPress jest podatna na Path Traversal (Zip Slip) przez funkcję extract_zip_file. Atakujący z dostępem na poziomie niestandardowym mogą zapisywać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Kirki dla WordPressa przed wersją 6.0.13 nieprawidłowo oczyszcza i koduje wartość pochodzącą z żądania przed użyciem jej w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL Injection.

Wtyczka Kirki dla WordPressa przed wersją 6.0.13 nie ogranicza, które klasy mogą być tworzone podczas deserializacji danych przechowywanych przez nieuwierzytelnionych użytkowników. Prowadzi to do PHP Object Injection, który jest wyzwalany, gdy administrator później przegląda te dane. Przy odpowiednim łańcuchu gadżetów (np. z innej wtyczki lub starej wersji WordPressa) może to prowadzić do zdalnego wykonania kodu.

Wtyczka Kirki w wersji 6.0.13 i starszych ma podatność na dowolne usuwanie plików dla użytkowników z rolą Edytora. Edytor może usunąć dowolny plik na serwerze.

Wtyczka Kirki dla WordPress do wersji 6.0.14 włącznie zawiera podatność na Insecure Direct Object Reference przez parametr 'context', umożliwiającą nieuwierzytelnionym atakującym odczyt tytułu, treści i fragmentu dowolnego posta WordPress, w tym szkiców, oczekujących, prywatnych, chronionych hasłem i usuniętych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie oczyszcza ani nie koduje wartości tematu i treści wiadomości e-mail dostarczonych w żądaniu przed umieszczeniem ich w e-mailu resetującym hasło wysyłanym jako HTML. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML do wiadomości dostarczonej zarejestrowanemu użytkownikowi, co może być wykorzystane do phishingu.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie przeprowadza autoryzacji na jednej ze swoich ścieżek REST, co pozwala nieuwierzytelnionym użytkownikom nadpisywać treść dowolnych istniejących komentarzy oraz tworzyć wstępnie zatwierdzone komentarze pod fałszywą tożsamością, omijając moderację komentarzy.

Wtyczka Kirki dla WordPressa jest podatna na atak typu Directory Traversal poprzez parametr 'family'. Uwierzytelnieni atakujący z dostępem na poziomie edytora lub wyższym mogą usuwać dowolne katalogi na serwerze.

Wtyczka Kirki (Themeum) do wersji 6.2.0 ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawniony dostęp do funkcji chronionych.

Wtyczka Kirki dla WordPressa zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 6.0.11 włącznie.

Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.

Wtyczka Kirki dla WordPressa do wersji 6.0.11 włącznie zawiera podatność na pominięcie autoryzacji. Nieuwierzytelniony atakujący może wysyłać dowolne e-maile z wstrzykniętym kodem HTML, w tym phishingowe z prawdziwym linkiem do resetowania hasła, wykorzystując serwer pocztowy witryny i jego reputację SPF/DKIM.

Wtyczka Kirki dla WordPressa do wersji 6.0.11 włącznie zawiera podatność na ujawnienie wrażliwych informacji poprzez funkcję get_single_symbol. Niezautoryzowani atakujący mogą wyodrębnić pełne metadane i wyrenderowany HTML dowolnego posta kirki_symbol, włączając nieopublikowane szkice, poprzez podanie sekwencyjnego ID posta.

Podatność w pluginie Kirki dla WordPressa polegająca na pominięciu autoryzacji we wszystkich wersjach do 6.0.6 włącznie. Umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym przeglądanie wszystkich formularzy Kirki i odczytywanie danych przesłanych przez odwiedzających, w tym danych kontaktowych i wiadomości.

Wtyczka Kirki dla WordPressa do wersji 6.0.6 włącznie zawiera podatność na usuwanie plików z powodu niedostatecznej walidacji ścieżki pliku i braku sprawdzania uprawnień w funkcji 'downloadZIP'. Niezalogowani atakujący mogą odczytywać i usuwać dowolne pliki w katalogu uploads WordPressa.