Katalog podatności CVE

Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.

Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.

Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.

Wtyczka WordPress BuddyForms w wersji przed 2.10.1 nie weryfikuje prawidłowo własności przed usunięciem załączników przesłanych przez gości. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie plików multimedialnych przesłanych przez innych nieuwierzytelnionych odwiedzających.

Wtyczka WordPress Security Optimizer w wersji przed 1.6.9 nie ogranicza liczby kodów uwierzytelniania dwuskładnikowego, które można przesłać dla oczekującego logowania. Umożliwia to atakującemu znającemu hasło użytkownika brute force drugiego składnika i przejęcie konta.

Wtyczka WordPress Premium Packages w wersji przed 7.2.2 nie zapobiega nadpisaniu przez nieuwierzytelnionych odwiedzających zapisanej ceny produktów w koszyku. Umożliwia im tworzenie zamówień na dowolny produkt po dowolnie wybranej cenie.

Wtyczka WordPress Bulk Media Register w wersji przed 2.01 nieprawidłowo waliduje ścieżkę podaną przez użytkownika przed przeniesieniem pliku na serwerze. Umożliwia to użytkownikom z rolą autora przenoszenie lub zmianę nazw dowolnych plików, w tym poza katalogiem głównym WordPress, co może obejść kontrolę dostępu na poziomie katalogów i ujawnić chronione pliki.

Wtyczka NextGEN Gallery dla WordPressa w wersjach do 4.5.4 włącznie jest podatna na przechowywany DOM-based XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka PPWP – Password Protect Pages dla WordPressa w wersjach do 1.9.26 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka WordPress Essential Addons for Elementor w wersjach przed 6.8.8 nieprawidłowo ogranicza możliwość ustawiania roli dla kont tworzonych przez formularz rejestracyjny. Użytkownicy z uprawnieniami na poziomie Author i wyższym mogą spowodować nadanie nowo zarejestrowanym kontom, w tym utworzonym przez niezalogowanych odwiedzających, wyższej roli, np. Editor. Poprawka z wersji 6.6.0 jest niekompletna i można ją obejść, więc wersje od 6.6.0 do 6.8.7 pozostają podatne.

Wtyczka WordPress Payment Forms for Paystack w wersjach przed 4.0.6 nieprawidłowo ogranicza dostęp do strony wyświetlającej zapisaną konfigurację. Użytkownicy z rolą Contributor i wyższą mogą zobaczyć tajne dane API bramki płatności — zarówno klucze produkcyjne, jak i testowe — które dają pełny dostęp do konta płatności właściciela witryny.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Meow Lightbox dla WordPressa w wersjach do 5.6.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'post_content (bbPress reply body)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.5 włącznie) jest podatna na wykonanie dowolnego shortcode. Wynika to z braku walidacji wartości przed wywołaniem do_shortcode, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów.

Podatność typu command injection w komponencie Orchestrator produktu SoftIron HyperCloud pozwala uwierzytelnionemu użytkownikowi z dostępem do płaszczyzny zarządzania na wykonanie dowolnych poleceń systemu operacyjnego na hostach hiperwizora jako uprzywilejowany użytkownik orkiestracji. Treść szablonu maszyny wirtualnej kontrolowana przez atakującego (np. pole VM DESCRIPTION) jest przekazywana do hostów przez here-document powłoki, którego terminator nie jest cytowany, co umożliwia ekspansję powłoki i wstrzyknięcie terminatora here-document podczas operacji cyklu życia maszyny wirtualnej, takich jak wdrożenie, migracja i konfiguracja sieci. Problem dotyczy wersji od 1.0 do 2.6.17 i został naprawiony w 2.6.18.

Moduł File Force Download dla Drupal 7 w wersjach 7.1.0–7.1.2 zwracał nagłówki Content-Disposition bez sprawdzania uprawnień dla plików spoza schematu private. Nieuwierzytelniony użytkownik mógł pobrać pliki ze schematu temporary:// lub z innych stream wrapperów, dodając parametr download=1 do adresu URL.

Moduł Field Collection dla Drupal 7 (wersje 7.x-1.0 do 7.x-1.2) ma błąd niewłaściwej autoryzacji. Funkcja field_collection_item_access() przyznaje prawo edycji i usuwania elementów każdemu użytkownikowi z uprawnieniem 'edit field collections', nie sprawdzając dostępu do encji nadrzędnej.

Biblioteka Assent (pow-auth) w strategii Sign in with Apple ufa parametrowi 'user' przesyłanemu przez przeglądarkę, który klient może dowolnie modyfikować. Parametr ten jest nadpisywany na zweryfikowane oświadczenia tokenu ID, co pozwala nieuwierzytelnionemu atakującemu podszyć się pod innego użytkownika. Problem dotyczy wersji od 0.1.25 do 0.3.2.