Katalog podatności CVE

Wtyczka LearnPress – Backup & Migration Tool dla WordPressa w wersjach do 4.1.4 włącznie jest podatna na wstrzykiwanie obiektów PHP poprzez deserializację niezaufanych danych. Podatność wymaga dostępu administratora i obecności łańcucha POP w innym zainstalowanym wtyczce lub motywie.

Wtyczka LearnPress – Backup & Migration Tool dla WordPressa do wersji 4.1.4 włącznie jest podatna na arbitralny odczyt plików poprzez path traversal za pomocą parametru 'import-user-file'. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać poufne informacje.

Wtyczka Quick Playground dla WordPressa do wersji 1.3.4 zawiera podatność na path traversal w funkcji qckply_data(), która przekazuje parametr filename bezpośrednio do file_get_contents() bez walidacji, co pozwala uwierzytelnionym administratorom na odczyt dowolnych plików na serwerze.

Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.

Wtyczka Page-list dla WordPressa w wersjach do 6.2 włącznie ma lukę w autoryzacji. Funkcja pagelist_unqprfx_ext_shortcode() akceptuje atrybuty post_status, post_type i show_meta_key kontrolowane przez atakującego i przekazuje je do get_pages() i get_post_meta() bez sprawdzania uprawnień. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym ujawnienie tytułów, treści i metadanych prywatnych i szkicowych stron poprzez wstawienie shortcode do swojego szkicu i podgląd go.

Wtyczka LatePoint – Calendar Booking Plugin dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 5.6.0 włącznie. Brak walidacji nonce w funkcji change_status umożliwia nieuwierzytelnionym atakującym zmianę statusu dowolnych faktur, w tym oznaczenie nieopłaconych faktur jako opłaconych, poprzez sfałszowane żądanie.

Wtyczka RSS Aggregator by Feedzy dla WordPress do wersji 5.1.7 zawiera podatność na obejście autoryzacji. Brak weryfikacji uprawnień umożliwia użytkownikom z dostępem Contributor i wyższym tworzenie i wykonywanie zadań importu RSS, usuwanie postów, czyszczenie logów błędów oraz wyliczanie taksonomii i kluczy meta. Nonce jest ujawniany w skrypcie feedzyjs.

Wtyczka Simple SEO Slideshow dla WordPress do wersji 1.2.8 zawiera podatność na trwałe XSS przez atrybuty shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dowolne skrypty, które wykonują się przy każdym odwiedzeniu strony. WordPress KSES nie usuwa złośliwych wartości atrybutów shortcode podczas zapisu posta.

Wtyczka Express Payment For Stripe dla WordPress do wersji 1.28.0 zawiera podatność na trwałe XSS przez atrybut 'type' shortcode [stripe-express]. Wartość atrybutu jest konkatenowana do atrybutu HTML bez użycia esc_attr(), co umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor wstrzyknięcie dowolnych skryptów.

Wtyczka Event Monster dla WordPressa do wersji 2.1.0 ma podatność polegającą na niewystarczającej weryfikacji autentyczności danych. Procedura AJAX capture_payment() ufa danym płatności dostarczonym przez klienta (w tym ID transakcji, kwocie i statusie) bez weryfikacji po stronie serwera z API PayPal ani innym dostawcą płatności, a także bez sprawdzania nonce lub uprawnień. Umożliwia to nieuwierzytelnionym atakującym fałszowanie rekordów płatności, oznaczanie rezerwacji jako zakończone i otrzymywanie e-maili potwierdzających z ważnymi biletami QR bez dokonania płatności.

Brak walidacji nonce w funkcji funp_ajax_modify_notes wtyczki Frontend User Notes dla WordPressa umożliwia atak CSRF. Niezalogowany atakujący może nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony, co spowoduje nadpisanie notatek ofiary (tylko jej własnych) poprzez sfałszowane żądanie do wp_update_post().

Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.2 włącznie jest podatna na czasową ślepą iniekcję SQL przez parametr 'order'. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.

W kamerze Tapo C520WS v2 wykryto podatność format string w usłudze ONVIF Subscribe z uwierzytelnieniem. Wynika ona z nieprawidłowego obsługiwania parametrów dostarczanych z zewnątrz w funkcjach formatujących. Atakujący może wstrzyknąć spreparowane ciągi formatujące do żądań subskrypcji zdarzeń lub ścieżki generowania powiadomień, zakłócając normalne działanie usługi. Skuteczne wykorzystanie może spowodować nieoczekiwane zakończenie usługi powiadomień o zdarzeniach, co prowadzi do utraty funkcji alarmów w czasie rzeczywistym i zakłócenia powiadomień o zdarzeniach.

Podatność format string w funkcji ONVIF AddScopes w kamerze Tapo C520WS v2. Użytkownik kontroluje dane wejściowe, które są nieprawidłowo przekazywane do funkcji formatujących. Atakujący może wstrzyknąć specyfikatory formatu, co może spowodować awarię usługi ONVIF i doprowadzić do DoS.

Urządzenie Tapo C520WS v2 zawiera podatność na przepełnienie bufora stosu w usłudze ONVIF DeleteUsers z powodu niewystarczających kontroli granicznych przy obsłudze wielu parametrów usuwania użytkowników. Uwierzytelniony atakujący może wysłać spreparowane żądanie z nadmierną liczbą identyfikatorów, powodując przepełnienie stosu.

W kamerze Tapo C520WS v2 wykryto podatność przepełnienia bufora opartego na stosie w usłudze ONVIF CreateUsers. Urządzenie nieprawidłowo waliduje liczbę węzłów XML podczas przetwarzania żądania, co pozwala uwierzytelnionemu atakującemu na wysłanie spreparowanego żądania ONVIF z nadmierną liczbą wpisów użytkowników, powodując uszkodzenie pamięci.

Wtyczka Charitable – Donation Plugin dla WordPress do wersji 1.8.11.1 zawiera podatność na Insecure Direct Object Reference (IDOR) w przepływie aktualizacji awatara profilu. Funkcja save_avatar() usuwa załącznik na podstawie ID z meta 'avatar' bez weryfikacji własności, a proces_picture() zwraca surową wartość, co pozwala na zatrucie meta i usunięcie dowolnego załącznika. Atak wymaga dostępu na poziomie Subscriber lub wyższym.

Wtyczka Alba Board dla WordPress do wersji 2.1.3 ma lukę w autoryzacji – nie weryfikuje poprawnie uprawnień użytkownika. Uwierzytelnieni atakujący z dostępem subskrybenta mogą odczytywać prywatne dane kart alba_card (tytuł, opis, przypisany, termin, tagi, komentarze) przeznaczone tylko dla administratorów i redaktorów. Dodatkowo, handler jest zarejestrowany przez wp_ajax_nopriv_, a nonce jest ujawniany na stronach z shortcode [alba_board], co umożliwia atak również nieuwierzytelnionym użytkownikom.

Podatność w bibliotece IDNA dla Pythona (wersje przed 3.15) na atak DoS poprzez specjalnie spreparowane domeny. Ładunki takie jak `"\u0660" * N` lub `"\u30fb" * N + "\u6f22"` wykorzystują funkcję `valid_contexto` przed odrzuceniem długości, co dla dużych wartości N powoduje długotrwałe przetwarzanie. Problem ten jest podobny do CVE-2024-3651, ale pierwotna łatka była niekompletna. W wersji 3.14 wprowadzono wczesne odrzucanie długich wejść, a w 3.15 rozszerzono to na inne funkcje. Obejściem jest wymuszenie limitu 253 znaków przed przekazaniem domeny do `idna.encode()`.

HAX CMS w wersjach przed 26.0.0 cierpi na podatność nieprawidłowego kończenia sesji, gdzie tokeny uwierzytelniające pozostają ważne po wylogowaniu użytkownika. Atakujący posiadający ważne tokeny mogą utrzymać stały dostęp do funkcji CMS, omijając mechanizm kończenia sesji.