Katalog podatności CVE

Podatność ujawniania informacji w edytorze komentarzy Forocoches pozwala atakującemu na uzyskanie nieautoryzowanych informacji o użytkowniku poprzez wstawienie obrazu z złośliwym zewnętrznym adresem URL do komentarza. Gdy ofiara przegląda wątek dyskusji, jej przeglądarka automatycznie wysyła żądanie HTTP/HTTPS do serwera kontrolowanego przez atakującego, który może zbierać takie dane, jak źródłowy adres IP, nagłówek User-Agent, data i godzina dostępu oraz inne metadane pochodzące z żądania, naruszając prywatność użytkownika.

Luka dotyczy Apache Fineract w wersjach do 1.15.0 włącznie. Endpoint odczytu Center (GET /api/v1/centers) oraz endpointy odczytu wpisów datatable (GET /api/v1/datatables/{datatable}/{apptableId} i GET /api/v1/datatables/{datatable}/{apptableId}/{datatableId}) konkatenują parametry sortowania dostarczone przez wywołującego (orderBy, sortOrder, order) bezpośrednio do klauzuli SQL ORDER BY.

Konfiguracja routingu Nginx dla Cloud Controller blokuje nieuwierzytelniony dostęp do endpointów /internal/v4/ i /internal/v5/, ale pomija równoważną regułę deny dla /internal/v3/. W efekcie endpointy callbacków stagingu /internal/v3/staging/:guid/droplet_completed i /internal/v3/staging/:guid/build_completed są osiągalne z publicznego listenera API bez OAuth ani mutual TLS.

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.2 włącznie jest podatna na przechowywane cross-site scripting poprzez pole List z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga kliknięcia przez administratora wstrzykniętego linku w widoku szczegółów wpisu i potwierdzenia okna dialogowego.

Wtyczka Gravity Forms dla WordPressa w wersjach do 3.1.1 włącznie jest podatna na przechowywane cross-site scripting poprzez wartości pól Post Excerpt, Post Custom Field oraz Rich-Text Paragraph z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Pola te pozwalają na przesyłanie surowego HTML przez allow_html(), a encja zakodowana w atrybucie data-dialog-confirm omija wp_kses_post() przy zapisie, ale jest dekodowana do wykonywalnego znacznika przez insertAdjacentHTML() w JavaScriptzie administratora.

Wtyczka Formidable Forms dla WordPressa w wersjach do 6.35 włącznie jest podatna na instalację dowolnych wtyczek poprzez parametr 'file_url'. Wynika to z niewystarczającej walidacji prefiksu URL w validate_url_is_in_s3_bucket() oraz callbacku uprawnień opierającego się wyłącznie na wspólnym tokenie dostępnym dla użytkowników z uprawnieniem frm_view_forms, bez sprawdzania install_plugins lub activate_plugins. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może zainstalować dowolne wtyczki na serwerze, o ile witryna korzysta tylko z darmowej wersji (Formidable Pro nie jest zainstalowane).

Wtyczka Food Store – Online Food Delivery & Pickup dla WordPressa w wersjach do 1.5.5 włącznie jest podatna na przechowywane cross-site scripting poprzez parametr 'service_time' z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Wykorzystanie wymaga wyłączenia opcji 'Enable Checkout Service Fields' (konfiguracja niebędąca domyślną) przy jednoczesnym włączeniu 'Enable Pickup/Delivery Service'.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa w wersjach do 3.8.6 włącznie jest podatna na brak autoryzacji. Endpoint rejestracji klienta OAuth 2.1 (/wp-json/mcp/v1/oauth/register) jest zarejestrowany z permission_callback równym __return_true, co pozwala nieuwierzytelnionemu użytkownikowi zarejestrować aktywny klient OAuth z kontrolowanym przez atakującego redirect URI. Po zatwierdzeniu klienta przez administratora na ekranie zgody OAuth atakujący może uzyskać token dostępu MCP powiązany z administratorem i pełną kontrolę administracyjną; strona zgody nie ma nagłówków X-Frame-Options ani CSP frame-ancestors, co umożliwia clickjacking.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje danych śledzących pochodzących z publicznych żądań odwiedzających przed ich zapisaniem i wyświetleniem w panelu statystyk administracyjnych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy zalogowany administrator przegląda strony statystyk.

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie weryfikuje hasła konta przed zaakceptowaniem kodu dwuskładnikowego z aplikacji authenticator przy logowaniu. Pozwala to każdej osobie posiadającej aktualny kod authenticator użytkownika na zalogowanie się jako ten użytkownik, w tym administrator, bez znajomości hasła.

Wtyczka WordPress Enable Media Replace przed wersją 4.2.3 nie ogranicza klas dozwolonych podczas deserializacji przechowywanych metadanych w procedurze zamiany mediów i aktualizacji linków. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie obiektu PHP, który jest instancjonowany, gdy użytkownik z uprawnieniami do przesyłania wykonuje rutynową zamianę mediów, co prowadzi do PHP Object Injection i lokalnego włączenia istniejących plików PHP/HTML, co może zostać eskalowane do zdalnego wykonania kodu, gdy na serwerze znajduje się plik PHP lub HTML pod wpływem atakującego. Jest to regresja CVE-2023-4643, naprawiona w 4.1.3 i ponownie wprowadzona w 4.1.4.

Wtyczka Export and Import Users and Customers dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.7.5 włącznie. Podatność wynika z niezgodności znaków ucieczki CSV między eksporterem (fputcsv z domyślnym backslashem) a importerem (fgetcsv z cudzysłowem jako znakiem ucieczki), co pozwala na wstrzyknięcie dodatkowego wiersza i utworzenie konta administratora przez atakującego z uprawnieniami Subskrybenta.

W glib-networking wykryto błąd polegający na braku limitu liczby biletów sesji TLS 1.3 przechowywanych w pamięci podręcznej po stronie klienta dla jednego hosta. Złośliwy serwer może wysyłać nadmierną liczbę komunikatów z biletami sesji, powodując ciągły wzrost zużycia pamięci przez aplikację klienta, co prowadzi do wyczerpania pamięci i odmowy usługi (DoS).

Wykryto podatność use-after-free w module Input w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

Wykryto uszkodzenie pamięci w module FileSystem w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł potencjalnie wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

Wykryto uszkodzenie pamięci w module Network w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł potencjalnie wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

Wykryto podatność use-after-free w module FileSystem w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

Wykryto uszkodzenie pamięci w module Autofill w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

Wykryto podatność use-after-free w module FileSystem w Google Chrome przed wersją 156.0.8078.79. Zdalny atakujący mógł wykonać dowolny kod w piaskownicy za pomocą spreparowanej strony HTML.

W Google Chrome przed wersją 156.0.8078.79 w komponencie Skia występuje użycie zwolnionej pamięci (use after free). Zdalny atakujący może wykonać dowolny kod wewnątrz piaskownicy za pomocą spreparowanej strony HTML.