Katalog podatności CVE

Wtyczka AI Engine dla WordPressa przed wersją 3.7.9 nie sprawdza, czy element przekazany do jednej z jej akcji medialnych należy do żądającego użytkownika, przed przekonwertowaniem go na załącznik i trwałym usunięciem. Umożliwia to użytkownikom z rolą Editor i wyżej usuwanie dowolnych postów każdego typu, w tym treści, których normalnie nie mogą usunąć, takich jak menu nawigacyjne, szablony bloków i style globalne.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.36.4 nie weryfikuje, czy użytkownik jest upoważniony do edycji docelowego posta przed jego aktualizacją. Umożliwia to uwierzytelnionym użytkownikom z rolą Subscriber modyfikowanie tytułu, treści i zajawki dowolnych postów, stron i niestandardowych typów treści utworzonych przez innych użytkowników.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.37.0 nie wykonuje sprawdzenia uprawnień, nonce ani własności przed zwróceniem danych rezerwacji i uczestników wydarzeń. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, ujawnienie imion, adresów e-mail, identyfikatorów transakcji i kwot płatności wszystkich rezerwacji w witrynie.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie ogranicza jednego ze swoich punktów końcowych REST API do personelu salonu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, pobranie wszystkich skonfigurowanych kuponów rabatowych, w tym ukrytych przed klientami, wraz z ich kwotami, datami ważności i limitami użycia.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie waliduje adresu URL obrazu podanego przez użytkownika przed pobraniem go po stronie serwera i zapisaniem odpowiedzi w publicznie dostępnej lokalizacji pod nazwą pliku wybraną przez atakującego. Umożliwia to użytkownikom z rolą Salon Staff i wyżej wymuszenie na serwerze odczytu zasobów wewnętrznych i ich ujawnienie oraz zapisanie złośliwego SVG, który wykonuje dowolne skrypty w domenie witryny dla każdego, kto go otworzy.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.11 nie ogranicza, które konta użytkowników mogą być edytowane przez role personelu salonu w ekranie zarządzania klientami. Umożliwia to użytkownikom z rolą Salon Staff lub Salon Worker zmianę roli dowolnego innego użytkownika, w tym administratora, na klienta oraz nadpisywanie dowolnych pól profilu na dowolnym koncie.

Wtyczka WordPress Tasty Recipes Lite w wersji przed 1.2.11 nie sprawdza poprawnie uprawnień użytkownika podczas tworzenia, zmiany nazwy i usuwania terminów taksonomii. Umożliwia to użytkownikom z rolą tak niską jak Contributor dodawanie, zmianę nazwy i trwałe usuwanie terminów w dowolnej taksonomii w witrynie, w tym kategorii, tagów i menu nawigacyjnych.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.

W aplikacji television (do wersji 0.15.9) występuje podatność Command Injection w funkcji Entry::output w pliku television/channels/entry.rs, wynikająca z manipulacji argumentem raw. Atak wymaga lokalnego dostępu.

W aplikacji Databasement (do wersji 1.8.1) występuje podatność braku autoryzacji w komponencie Scheduled Restore, w pliku app/Http/Requests/Api/V1/SaveScheduledRestoreRequest.php, wynikająca z manipulacji argumentem schema_name. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

W systemie Online-Examination-System (itsmeravitejak) wykryto lukę w funkcji isAdmin w pliku admin/admin.php. Manipulacja prowadzi do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.

W makeplane plane do wersji 1.4.2 zidentyfikowano lukę w nieznanej funkcji komponentu API Endpoint. Manipulacja argumentem X-Forwarded-For prowadzi do opierania decyzji bezpieczeństwa na niezaufanych danych wejściowych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Biblioteka ip-address przed wersją 10.7.4 pozwala na atak odmowy usługi (wyczerpanie CPU z powodu złożoności kwadratowej oraz zawieszenie aplikacji) poprzez wprowadzenie wielu znaków % do danych wejściowych trafiających do wywołania funkcji korzystającej z konstruktora Address6.

W datastax pulsar-jms do wersji 9.0.3 wykryto lukę w funkcji decode w pliku PulsarObjectMessage.java. Manipulacja powoduje deserializację niezaufanych danych, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany.

W THU-MIG yoloe do commita 40cd606cabdbe2b566d6f14a6b162c89206e9a1b wykryto lukę bezpieczeństwa w funkcji eval w pliku ultralytics/nn/autobackend.py komponentu AutoBackend Model Loading. Manipulacja argumentami imgsz/names/kpt_shape prowadzi do niewłaściwej neutralizacji dyrektyw w dynamicznie ewaluowanym kodzie. Atak wymaga lokalnego dostępu, a exploit został publicznie ujawniony.

Coder od 2.0.0 przed 2.34.8 zawiera lukę otwartego przekierowania w handleAPIKeySmuggling, która pozwala atakującym przekierować użytkowników na zewnętrzne strony poprzez nieoczyszczone wartości r.URL.Path. Atakujący mogą tworzyć linki w zaufanych subdomenach aplikacji workspace ze ścieżkami zaczynającymi się od podwójnego ukośnika, które stają się przekierowaniami względnymi schematu do stron atakującego w celach phishingowych.

Coder od 2.26.0 przed 2.34.8 zawiera błąd autoryzacji w endpoincie GET /api/v2/workspaces/{id}/acl, który sprawdza tylko dostęp do odczytu workspace, a następnie pobiera członków grupy w podwyższonym kontekście systemowym. Uwierzytelnieni użytkownicy z dostępem do workspace mogą odpytać endpoint, aby pozyskać adresy e-mail, typy logowania, status oraz znaczniki czasu ostatniego logowania i utworzenia członków grupy.

Coder od 2.30.0 przed 2.34.8 zawiera lukę obejścia autoryzacji w handlerze gRPC DownloadFile demona provisionera, która pozwala uwierzytelnionym demonom provisionera pobierać archiwa modułów Terraform z pamięci podręcznej innych organizacji. Atakujący z kluczem provisionera o zakresie organizacji i znanym UUID pliku może pobrać kod źródłowy modułu, ujawniając topologię infrastruktury lub osadzone sekrety.

Coder od 2.0.0 przed 2.34.8 zawiera lukę nieprawidłowej autoryzacji w regule acl_allow pliku coderd/rbac/policy.rego, która nie weryfikuje członkostwa w organizacji dla wpisów ACL na użytkownika, a usunięcie członka organizacji nie usuwa tych wpisów. Uwierzytelnieni użytkownicy usunięci z organizacji mogą nadal uzyskiwać dostęp do wcześniej przyznanych zasobów o zasięgu organizacji, takich jak szablony i workspace, poprzez API.

Vikunja od 2.2.0 przed 2.7.0 zawiera permisywną konfigurację CORS, która ufa każdemu portowi localhost i 127.0.0.1 z poświadczeniami, nawet gdy ustawiono service.publicurl. Atakujący kontrolujący stronę na dowolnym porcie localhost może wysłać żądanie z poświadczeniami do endpointu odświeżania tokenu i odczytać zwrócony bearer JWT, aby przejąć konto zalogowanego użytkownika.