Katalog podatności CVE

Wtyczka NextGEN Gallery dla WordPressa w wersjach do 4.5.4 włącznie jest podatna na przechowywany DOM-based XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka PPWP – Password Protect Pages dla WordPressa w wersjach do 1.9.26 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka WordPress Essential Addons for Elementor w wersjach przed 6.8.8 nieprawidłowo ogranicza możliwość ustawiania roli dla kont tworzonych przez formularz rejestracyjny. Użytkownicy z uprawnieniami na poziomie Author i wyższym mogą spowodować nadanie nowo zarejestrowanym kontom, w tym utworzonym przez niezalogowanych odwiedzających, wyższej roli, np. Editor. Poprawka z wersji 6.6.0 jest niekompletna i można ją obejść, więc wersje od 6.6.0 do 6.8.7 pozostają podatne.

Wtyczka WordPress Payment Forms for Paystack w wersjach przed 4.0.6 nieprawidłowo ogranicza dostęp do strony wyświetlającej zapisaną konfigurację. Użytkownicy z rolą Contributor i wyższą mogą zobaczyć tajne dane API bramki płatności — zarówno klucze produkcyjne, jak i testowe — które dają pełny dostęp do konta płatności właściciela witryny.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Meow Lightbox dla WordPressa w wersjach do 5.6.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'post_content (bbPress reply body)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.5 włącznie) jest podatna na wykonanie dowolnego shortcode. Wynika to z braku walidacji wartości przed wywołaniem do_shortcode, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów.

Podatność typu command injection w komponencie Orchestrator produktu SoftIron HyperCloud pozwala uwierzytelnionemu użytkownikowi z dostępem do płaszczyzny zarządzania na wykonanie dowolnych poleceń systemu operacyjnego na hostach hiperwizora jako uprzywilejowany użytkownik orkiestracji. Treść szablonu maszyny wirtualnej kontrolowana przez atakującego (np. pole VM DESCRIPTION) jest przekazywana do hostów przez here-document powłoki, którego terminator nie jest cytowany, co umożliwia ekspansję powłoki i wstrzyknięcie terminatora here-document podczas operacji cyklu życia maszyny wirtualnej, takich jak wdrożenie, migracja i konfiguracja sieci. Problem dotyczy wersji od 1.0 do 2.6.17 i został naprawiony w 2.6.18.

Moduł File Force Download dla Drupal 7 w wersjach 7.1.0–7.1.2 zwracał nagłówki Content-Disposition bez sprawdzania uprawnień dla plików spoza schematu private. Nieuwierzytelniony użytkownik mógł pobrać pliki ze schematu temporary:// lub z innych stream wrapperów, dodając parametr download=1 do adresu URL.

Moduł Field Collection dla Drupal 7 (wersje 7.x-1.0 do 7.x-1.2) ma błąd niewłaściwej autoryzacji. Funkcja field_collection_item_access() przyznaje prawo edycji i usuwania elementów każdemu użytkownikowi z uprawnieniem 'edit field collections', nie sprawdzając dostępu do encji nadrzędnej.

Biblioteka Assent (pow-auth) w strategii Sign in with Apple ufa parametrowi 'user' przesyłanemu przez przeglądarkę, który klient może dowolnie modyfikować. Parametr ten jest nadpisywany na zweryfikowane oświadczenia tokenu ID, co pozwala nieuwierzytelnionemu atakującemu podszyć się pod innego użytkownika. Problem dotyczy wersji od 0.1.25 do 0.3.2.

W Shopify App (silnik Rails) od wersji 22.1.0 do 23.0.3 kontrolery uwierzytelniane przez token-exchange mogą ujawniać kontekst shop pochodzący z żądania zamiast tożsamości z zweryfikowanego tokenu ID Shopify lub aktywnej sesji. current_shopify_domain może rozwiązać się do sanityzowanego parametru zapytania shop, przez co żądanie uwierzytelnione dla jednego sklepu może być traktowane jako dotyczące innego sklepu.

Podatność w bibliotece secp256k1-native (natywna implementacja C dla Ruby) polega na tym, że kompilatory GCC 14.3.0, 15.1.0 i 15.2.0 przy optymalizacji -O2 rekonstruują bezgałęziowe selekcje w instrukcje warunkowe (je/jne), co powoduje wyciek informacji o tajnym skalarze poprzez pomiar czasu. Problem dotyczy ścieżki natywnej, a nie czysto rubinowej.

W bibliotece i18next w wersjach przed 26.3.4 funkcja deepExtend w src/utils.js sprawdza istnienie właściwości operatorem in i rekurencyjnie wchodzi w odziedziczone wbudowane obiekty osiągalne przez Object.prototype. Jeśli aplikacja jawnie przekaże dane zasobów kontrolowane przez atakującego do addResourceBundle z opcjami deep: true i overwrite: true, klucze takie jak hasOwnProperty, toString czy valueOf mogą wybrać współdzielone odziedziczone funkcje wbudowane, a zagnieżdżona wartość może nadpisać właściwość tych obiektów w całym procesie. Przykładowo uczynienie Object.prototype.hasOwnProperty.call niewoływalnym powoduje, że kolejne użycia, w tym wewnętrzne mechanizmy i18next, rzucają TypeError, co prowadzi do nieodwracalnej odmowy usługi i ograniczonego wpływu na integralność.

W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.

Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.

W narzędziu Coop w wersjach przed 1.0.0 operacja GraphQL Mutation.createOrg pozwala nieuwierzytelnionemu podmiotowi tworzyć dowolne organizacje na publicznie dostępnej instancji. Poza zaśmiecaniem logów brak ograniczania szybkości może potencjalnie doprowadzić do wyczerpania bazy danych. Uruchomienie usługi w uwierzytelnionej sieci prywatnej uniemożliwia zewnętrznym podmiotom bezpośrednie odpytywanie API GraphQL.

W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.

W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.