Katalog podatności CVE

W AUTOMATIC1111 stable-diffusion-webui do wersji 1.10.1 wykryto podatność w funkcji create_item_html w pliku modules/ui_extra_networks.py w komponencie Card Builder. Manipulacja argumentem filename prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został upubliczniony i może być wykorzystany; projekt nie odpowiedział na zgłoszenie problemu.

Wtyczka HivePress dla WordPressa (do wersji 1.7.32) ma podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Atakujący może wstrzyknąć i wykonać dowolny kod w kontekście aplikacji.

Wtyczka 2Way VideoCalls and Random Chat (do wersji 6.1.5) zawiera podatność polegającą na obejściu uwierzytelniania przez słabość podstawową, co umożliwia nadużycie uwierzytelniania. Atakujący może uzyskać dostęp do funkcji zastrzeżonych dla zalogowanych użytkowników.

Wtyczka Kit (dawniej ConvertKit) dla WordPressa (do wersji 3.4.6) ma podatność braku autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać operacje, do których nie ma uprawnień.

Wtyczka Advanced File Manager dla WordPressa (do wersji 5.4.14) ma podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Atakujący może uzyskać dostęp do funkcji zarządzania plikami bez odpowiednich uprawnień.

Wtyczka PickPlugins Product Designer for WooCommerce dla WordPressa do wersji 1.0.40 nie wykonuje sprawdzenia uprawnień, a jej weryfikacja nonce jest odwrócona — akceptuje żądania z nieprawidłowym lub brakującym nonce, odrzucając prawidłowe. Nie waliduje też posta, do którego zapisywane są dane, co pozwala nieuwierzytelnionym użytkownikom wstawiać dane szablonu projektu do metadanych dowolnego posta w witrynie.

W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W aplikacji Books4Cash (do commita a8d3e357db75c07ac5ffbadcbaee2aeb4db3e571) występuje podatność Cross-Site Scripting w pliku search.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.9 nie weryfikuje, czy użytkownik wykonujący pewne akcje zarządzania mediami AI jest właścicielem docelowego obiektu lub ma prawo go edytować. Umożliwia to użytkownikom z rolą Editor i wyżej modyfikowanie lub zmianę typu dowolnych postów w witrynie, w tym treści, których nie mają prawa edytować.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.9 nie sprawdza, czy element przekazany do jednej z jej akcji medialnych należy do żądającego użytkownika, przed przekonwertowaniem go na załącznik i trwałym usunięciem. Umożliwia to użytkownikom z rolą Editor i wyżej usuwanie dowolnych postów każdego typu, w tym treści, których normalnie nie mogą usunąć, takich jak menu nawigacyjne, szablony bloków i style globalne.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.36.4 nie weryfikuje, czy użytkownik jest upoważniony do edycji docelowego posta przed jego aktualizacją. Umożliwia to uwierzytelnionym użytkownikom z rolą Subscriber modyfikowanie tytułu, treści i zajawki dowolnych postów, stron i niestandardowych typów treści utworzonych przez innych użytkowników.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.37.0 nie wykonuje sprawdzenia uprawnień, nonce ani własności przed zwróceniem danych rezerwacji i uczestników wydarzeń. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, ujawnienie imion, adresów e-mail, identyfikatorów transakcji i kwot płatności wszystkich rezerwacji w witrynie.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie ogranicza jednego ze swoich punktów końcowych REST API do personelu salonu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, pobranie wszystkich skonfigurowanych kuponów rabatowych, w tym ukrytych przed klientami, wraz z ich kwotami, datami ważności i limitami użycia.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie waliduje adresu URL obrazu podanego przez użytkownika przed pobraniem go po stronie serwera i zapisaniem odpowiedzi w publicznie dostępnej lokalizacji pod nazwą pliku wybraną przez atakującego. Umożliwia to użytkownikom z rolą Salon Staff i wyżej wymuszenie na serwerze odczytu zasobów wewnętrznych i ich ujawnienie oraz zapisanie złośliwego SVG, który wykonuje dowolne skrypty w domenie witryny dla każdego, kto go otworzy.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.11 nie ogranicza, które konta użytkowników mogą być edytowane przez role personelu salonu w ekranie zarządzania klientami. Umożliwia to użytkownikom z rolą Salon Staff lub Salon Worker zmianę roli dowolnego innego użytkownika, w tym administratora, na klienta oraz nadpisywanie dowolnych pól profilu na dowolnym koncie.

Wtyczka WordPress Tasty Recipes Lite w wersji przed 1.2.11 nie sprawdza poprawnie uprawnień użytkownika podczas tworzenia, zmiany nazwy i usuwania terminów taksonomii. Umożliwia to użytkownikom z rolą tak niską jak Contributor dodawanie, zmianę nazwy i trwałe usuwanie terminów w dowolnej taksonomii w witrynie, w tym kategorii, tagów i menu nawigacyjnych.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.

W aplikacji television (do wersji 0.15.9) występuje podatność Command Injection w funkcji Entry::output w pliku television/channels/entry.rs, wynikająca z manipulacji argumentem raw. Atak wymaga lokalnego dostępu.

W aplikacji Databasement (do wersji 1.8.1) występuje podatność braku autoryzacji w komponencie Scheduled Restore, w pliku app/Http/Requests/Api/V1/SaveScheduledRestoreRequest.php, wynikająca z manipulacji argumentem schema_name. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

W systemie Online-Examination-System (itsmeravitejak) wykryto lukę w funkcji isAdmin w pliku admin/admin.php. Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.