Katalog podatności CVE

Wtyczka SEO Booster dla WordPressa jest podatna na czasową iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 7.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem administratora dołączanie dodatkowych zapytań SQL.

Wtyczka Product Feed Manager For WooCommerce – Sell on 200+ Online Marketplaces dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr wyszukiwania 's' we wszystkich wersjach do 7.6.1 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka Easy Accordion – AI-Powered FAQ & Accordion Blocks, Product FAQ dla WordPress jest podatna na trwałe ataki XSS poprzez atrybut bloku 'align' we wszystkich wersjach do 3.1.6 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Catch Themes Demo Import dla WordPressa do wersji 3.3 włącznie zawiera brak autoryzacji. Funkcja catch_themes_demo_import_activate_plugin() wywoływana podczas admin_init z parametrem GET activate_plugin instaluje wtyczkę 'essential-content-types' przed sprawdzeniem uprawnień current_user_can('activate_plugins'). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym zainstalowanie tej wtyczki.

Wtyczka GiveWP do WordPressa jest podatna na trwałe ataki XSS przez ustawienie szablonu Sequoia 'twitter_message'. Luka występuje we wszystkich wersjach do 4.16.3 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i wyjściowych.

Wtyczka MxChat – AI Chatbot & Content Generation dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 3.2.10 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.

Wtyczka List category posts dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 0.95.0 włącznie, poprzez funkcję sanitize_status. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym, wyodrębnienie tytułów, pełnej treści, fragmentów, dat, autorów i metadanych pól niestandardowych oczekujących na recenzję, zaplanowanych i usuniętych postów innych użytkowników, poprzez osadzenie spreparowanego shortcode'u [catlist] we własnym szkicu i jego podgląd.

Wtyczka Landing Page Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.5.3.6 włącznie. Brak walidacji tokena nonce w funkcji ulpb_admin_ajax umożliwia nieuwierzytelnionym atakującym wykonanie nieautoryzowanych działań na stronach i meta-danych postów.

W produkcie TOKO-ONLINE-ROTI do wersji ddfe1cd587be0a0b5135d8b6e85cce2ec3aece99 wykryto podatność w nieznanej funkcji pliku proses/add.php. Manipulacja argumentem kd_cs prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.

Podatność w Anubis Web AI Firewall Utility od wersji 1.22.0 do 1.26.0-pre1 pozwala atakującemu na ominięcie wyzwania Anubis poprzez manipulację nagłówkiem X-Original-URI. Funkcja PathChecker.Check() ufała kontrolowanemu przez klienta nagłówkowi przed dopasowaniem do ścieżki URL, co umożliwiało wykorzystanie reguł ALLOW dla wzorców takich jak ^/\.well-known/.*$.

Wekan do wersji 9.34 zawiera podatność w metodzie cloneBoard, która pozwala uwierzytelnionemu użytkownikowi na sklonowanie dowolnej tablicy (znając jej ID) bez sprawdzania uprawnień. Umożliwia to odczyt kart, komentarzy, załączników, informacji o członkach i aktywności z tablic prywatnych.

W Wekan przed wersją 9.32 adresy URL webhooków przechowywane z danych wejściowych użytkownika nie są weryfikowane pod kątem połączeń do sieci wewnętrznych. Administrator tablicy może skonfigurować webhooki prowadzące do żądań serwerowych do wewnętrznych lub metadanych usług.

W Wekan przed wersją 9.32, REST-owe procedury obsługi w server/models/customFields.js używają sprawdzania dostępu na poziomie odczytu (Authentication.checkBoardAccess) zamiast zapisu (Authentication.checkBoardWriteAccess) dla tras modyfikujących pola niestandardowe. Członek tablicy z uprawnieniami tylko do odczytu może wywoływać procedury POST, PUT i DELETE dla /api/boards/:boardId/custom-fields oraz elementów list rozwijanych pól niestandardowych, aby tworzyć, aktualizować lub usuwać niestandardowe pola tablicy.

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

W bibliotece Dulwich w wersji do 1.1.0 w pliku contrib/paramiko_vendor.py brakuje weryfikacji klucza hosta SSH. Oznacza to, że podczas połączeń SSH nie jest sprawdzane, czy klucz publiczny serwera jest zaufany.

Przepełnienie sterty w funkcji ifsbreakup() w shell/ash.c Busybox v1.38.0. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego wejścia.

W aplikacji xxl-job-admin w wersji 3.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Zdalny atakujący może wykorzystać spreparowane żądanie HTTP GET zawierające złośliwy skrypt do wykonania dowolnego kodu w kontekście przeglądarki ofiary.

Listmonk przed wersją 6.2.0 zawiera podatność na wstrzykiwanie SQL w endpointcie GET /api/subscribers/export. Parametr zapytania kontrolowany przez użytkownika jest przekazywany do funkcji QuerySubscribersForExport bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z odpowiednimi uprawnieniami na odczyt dowolnych tabel bazy danych oraz wykonywanie modyfikujących dane wyrażeń CTE w PostgreSQL.