Katalog podatności CVE

Wtyczka Coinsnap Bitcoin Crowdfunding dla WordPressa do wersji 1.2.0 nie ogranicza dostępu do sekretu używanego do uwierzytelniania webhooka bramki płatności, ujawniając go nieuwierzytelnionym użytkownikom i czyniąc weryfikację podpisu webhooka nieskuteczną. Umożliwia to nieuwierzytelnionym atakującym fałszowanie powiadomień o potwierdzeniu płatności i rejestrowanie dowolnych darowizn jako zakończonych, z wybranymi przez atakującego kwotami, nazwiskami darczyńców i wiadomościami.

Wtyczka WX Subscribe 微信支付付费订阅 dla WordPressa do wersji 1.2.1 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection w instalacjach, w których klucz płatności nie został skonfigurowany.

Wtyczka WordPress Subscribe to Comments w wersji przed 2.3.3 nie podpisuje ani nie weryfikuje pliku cookie, któremu ufa przy identyfikacji komentującego. Umożliwia to nieuwierzytelnionemu atakującemu ujawnienie klucza zarządzania subskrybenta i ciche zmienianie jego subskrypcji.

Wtyczka WordPress Document Gallery w wersji do 5.1.1 włącznie nie wykonuje żadnego sprawdzenia uprawnień ani własności podczas generowania galerii na żądanie. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie i ujawnienie tytułów, opisów oraz bezpośrednich adresów URL plików multimedialnych dołączonych do nieopublikowanych, prywatnych lub usuniętych treści.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 oraz 11.7.x <= 11.7.10 nie ogranicza liczby i rozmiaru kluczy wzmianek przechowywanych w właściwościach powiadomień użytkownika ani nie ogranicza kwadratowego dopasowywania wielobajtowych słów kluczowych dla każdego posta. Uwierzytelniony użytkownik może pogorszyć opóźnienie przetwarzania postów i zużyć nadmierne zasoby CPU w imieniu innych członków kanału poprzez zapisanie zbyt dużej listy notify_props.mention_keys na własnym profilu.

Wtyczka Wp Map Block dla WordPressa w wersjach do 3.0.0 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach set_status() i bulk() w kontrolerze REST Maps_Controller. Uwierzytelniony atakujący z uprawnieniami współautora lub wyższymi może publikować, odpublikować lub masowo usuwać dowolne posty wpmb_map, w tym mapy należące do administratorów.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie sanityzuje pola aktywnego kanału zwracanego przez punkty końcowe API statusu użytkownika. Uwierzytelniony użytkownik może poznać identyfikator kanału prywatnego, który inny użytkownik aktywnie przegląda, nie będąc członkiem tego kanału.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie unieważnia zapisanego hasła bind AD/LDAP, gdy inne ustawienia połączenia (takie jak adres serwera) zostaną zmienione. Administrator System Console może ujawnić hasło bind w postaci jawnej do serwera kontrolowanego przez atakującego za pomocą funkcji Test Connection / diagnostyki.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie wymaga ponownego wprowadzenia zapisanego klucza klienta (client secret) podczas walidacji wychodzącego połączenia OAuth. Uwierzytelniony użytkownik z uprawnieniami do zarządzania wychodzącymi połączeniami OAuth może uzyskać klucz klienta, kierując adres URL tokenu na punkt końcowy kontrolowany przez atakującego i wyzwalając walidację.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie wymusza sprawdzenia DM/GM po stronie serwera. Uwierzytelniony użytkownik może poddać kwarantannie post należący do wiadomości bezpośredniej (DM) lub grupowej (GM) poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie waliduje kombinacji ról gościa i administratora. Uwierzytelniony atakujący może eskalująć konto gościa do administratora zespołu lub kanału poprzez spreparowane żądanie PUT do punktu końcowego API ról członków.

Wtyczka User Registration & Membership dla WordPressa (wersje do 5.2.8 włącznie) jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wykonać dowolne shortcode'y.

Wtyczka WP Booking System – Booking Calendar dla WordPressa (wersje do 2.1.0.1 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'data[orderby]' z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dodatkowe zapytania SQL i wyciągnąć poufne informacje z bazy danych; eksploatacja wymaga kalendarza z ponad 200 rezerwacjami.

Wtyczka GeoDirectory – WP Business Directory Plugin dla WordPressa (wersje do 2.8.192 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'twitterusername' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa (wersje do 7.2.8 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'note' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.

Wtyczka Site Reviews (wersje do 8.3.4 włącznie) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawnionym użytkownikom wykonanie akcji zastrzeżonych dla wyższych uprawnień.

Wtyczka WebberZone Top 10 – Popular Posts dla WordPressa (wersje do 4.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'other_attributes' (przetwarzany do wstrzyknięcia instance_id) oraz niezadeklarowany 'is_widget' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami współtwórcy może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa (wersje do 2.9 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS), ponieważ usuwa filtr wp_filter_post_kses przed zapisem treści z kanału RSS. Nieuwierzytelniony atakujący, który opublikuje lub przejmie kanał RSS subskrybowany przez administratora, może wstrzyknąć dowolne skrypty do importowanych postów.

Wtyczka WordPress affiliate-toolkit w wersji przed 3.8.9 nie waliduje wartości sortowania podanej przez użytkownika względem listy dozwolonych przed użyciem jej w zapytaniu do bazy danych, a ekran listy administracyjnej wymaga jedynie niższych uprawnień niż administrator. Umożliwia to użytkownikom z dostępem na poziomie edytora i wyższym przeprowadzenie wstrzyknięcia SQL i odczyt dowolnych informacji z bazy danych. W trybie multisite edytor podwitryny może odczytać globalną tabelę użytkowników sieci, w tym hash hasła superadministratora.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.9 nie sprawdza poprawnie autoryzacji przed utworzeniem rezerwacji i ufa identyfikatorowi użytkownika oraz statusowi rezerwacji dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym tworzenie rezerwacji przypisanych do dowolnych użytkowników, nadpisywanie ich danych kontaktowych oraz oznaczanie rezerwacji jako opłaconych lub potwierdzonych bez dokonywania płatności.