Podatności My Calendar

My Calendar (wtyczka WordPress) w wersjach 3.7.6 i niższych ma podatność w punkcie końcowym mc_ajax_mcjs_action, który jest dostępny dla nieuwierzytelnionych użytkowników. Parametry są przekazywane przez parse_str() bez walidacji, co pozwala na wstrzyknięcie parametru site. W instalacjach Multisite umożliwia to nieuwierzytelnionemu atakującemu wywołanie switch_to_blog() i wyciągnięcie wydarzeń z dowolnej podstrony, w tym prywatnych. W instalacjach Single Site powoduje to nieobsłużony błąd PHP i awarię wątku roboczego (DoS).

Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.

Wtyczka My Calendar dla WordPressa w wersjach 3.8.8 do 3.8.11 zawiera podatność wstrzyknięcia shortcode, która pozwala nieuwierzytelnionym atakującym na wykonanie zarejestrowanych shortcode'ów poprzez parametr wyszukiwania mcs. Wartość mcs trafia do mc_search_results() bez kodowania nawiasów przed uruchomieniem do_shortcode, więc żądanie GET uruchamia shortcode'y na dowolnej stronie lub wpisie, umożliwiając wstrzyknięcie treści i podszywanie się.

Wtyczka My Calendar Joe Dolsona do WordPressa do wersji 3.6.16 zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykorzystać tę lukę do nieautoryzowanych działań.