Katalog podatności CVE

W SourceCodester Best House Rental Management System 1.0 wykryto podatność w funkcji save_category w pliku /admin_class.php. Manipulacja argumentem Name prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny.

W Simple Online Hotel Reservation System 2.0 wykryto lukę SQL injection w pliku /admin/add_account.php poprzez manipulację argumentem Name. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W Simple Online Hotel Reservation System 2.0 wykryto lukę nieograniczonego przesyłania plików w /admin/edit_room.php (komponent Photo Handler). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Motyw kallyas dla WordPress jest podatny na przechowywany cross-site scripting (Stored XSS) poprzez kilka shortcode'ów motywu we wszystkich wersjach do 4.23.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Import WP dla WordPressa w wersjach do 2.14.16 włącznie jest podatna na odczyt dowolnych plików. Punkt końcowy REST API akceptuje dowolne bezwzględne ścieżki plików bez walidacji w funkcji attach_file() przy obsłudze akcji file_local, co pozwala uwierzytelnionym atakującym z uprawnieniami administratora na odczyt plików serwera.

Wtyczka Qi Blocks dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.4.3 włącznie. Wtyczka przechowuje dowolne style CSS przesłane przez endpoint REST API `qi-blocks/v1/update-styles` bez odpowiedniej sanityzacji w funkcji `update_global_styles_callback()`. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolny CSS, co może służyć do ukrywania treści, nakładania fałszywych elementów interfejsu lub eksfiltracji danych.

Wtyczka Employee Spotlight – Team Member Showcase & Meet the Team Plugin dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez Social URLs we wszystkich wersjach do 5.1.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Wtyczka Folderly dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu niewystarczającej weryfikacji uprawnień w punkcie REST API /wp-json/folderly/v1/config/clear-all-data we wszystkich wersjach do 0.3 włącznie. Uwierzytelniony atakujący z poziomem dostępu Author lub wyższym może usunąć wszystkie dane, takie jak terminy i kategorie.

Wtyczka WP Discourse dla WordPress jest podatna na ujawnienie informacji we wszystkich wersjach do 2.5.9 włącznie. Wynika to z bezwarunkowego wysyłania poświadczeń API Discourse (nagłówki Api-Key i Api-Username) do dowolnego hosta określonego w niestandardowym polu discourse_permalink podczas synchronizacji komentarzy. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym wyciek poufnych poświadczeń API Discourse do serwerów kontrolowanych przez atakującego, a także odpytywanie usług wewnętrznych i potencjalnie przeprowadzanie dalszych ataków.

Wtyczka wpForo Forum dla WordPress jest podatna na wstrzyknięcie SQL poprzez Subscriptions Manager we wszystkich wersjach do 2.4.9 włącznie, z powodu niewystarczającego escapowania parametrów dostarczanych przez użytkownika i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Subscriber lub wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, co może być wykorzystane do wyodrębnienia poufnych informacji z bazy danych.

Wtyczka Schema & Structured Data for WP & AMP jest podatna na przechowywany XSS poprzez shortcode 'saswp_tiny_multiple_faq' we wszystkich wersjach do 1.51 włącznie, z powodu niewystarczającej sanityzacji i escapowania atrybutów dostarczonych przez użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka Schema Scalpel dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez tytuł wpisu we wszystkich wersjach do 1.6.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych podczas wyprowadzania danych dostarczanych przez użytkownika do znaczników JSON-LD. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Flying Images: Optimize and Lazy Load Images for Faster Page Speed dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez ustawienia administratora we wszystkich wersjach do 2.4.14 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Dotyczy to wyłącznie instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka List category posts dla WordPressa jest podatna na ujawnienie informacji we wszystkich wersjach do 0.92.0 włącznie poprzez shortcode 'catlist' z powodu niewystarczających ograniczeń dotyczących tego, które posty mogą być dołączone. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wyodrębnić dane z postów chronionych hasłem, prywatnych lub szkiców, do których nie powinien mieć dostępu.

Wtyczka SiteSEO – SEO Simplified dla WordPressa jest podatna na brak autoryzacji w wersjach do 1.3.1 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może włączać lub wyłączać dowolne funkcje SiteSEO, do których nie powinien mieć dostępu.

Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 12.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.

Blogi w Liferay Portal 7.4.0 do 7.4.3.111 oraz starszych nieobsługiwanych wersjach, a także Liferay DXP 2023.Q4.0 do 2023.Q4.10, 2023.Q3.1 do 2023.Q3.10, 7.4 GA do update 92 i starszych nieobsługiwanych wersjach nie sprawdzają uprawnień do obrazów we wpisie bloga. Umożliwia to zdalnym atakującym przeglądanie obrazów we wpisie bloga za pomocą spreparowanego adresu URL.

Wtyczka Inactive Logout dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr 'ina_redirect_page_individual_user' we wszystkich wersjach do 3.5.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Privacy Policy Generator, Terms & Conditions Generator WordPress Plugin: WP Legal Pages dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji disconnect_account_request() we wszystkich wersjach do 3.5.1 włącznie.

Wtyczka Document Library Lite dla WordPressa w wersjach do 1.1.6 włącznie jest podatna na niewłaściwą autoryzację. Wtyczka udostępnia nieuwierzytelnioną akcję AJAX dll_load_posts, która zwraca dane dokumentów w formacie JSON bez sprawdzania nonce i uprawnień. Obsługiwany parametr args pozwala atakującemu na pobranie tytułów i treści niepublikowanych dokumentów.