Katalog podatności CVE

Wtyczka Content Egg dla WordPressa w wersjach do 12.0.0 włącznie nie sprawdza uprawnień do konkretnego wpisu w funkcji ajaxUpdateProducts(). Uwierzytelniony atakujący z rolą współautora lub wyższą może modyfikować dane produktów Content Egg oraz metadane znacznika czasu aktualizacji na dowolnych wpisach, w tym należących do administratorów.

Wtyczka JoomSport dla WordPressa w wersjach do 5.7.14 włącznie jest podatna na wstrzyknięcie SQL przez parametr 'pgroup' z powodu niewystarczającego escapowania i braku przygotowania zapytania. Uwierzytelniony atakujący z rolą współautora lub wyższą może dołączać dodatkowe zapytania SQL i wydobywać poufne informacje z bazy danych.

Wtyczka Events Made Easy dla WordPressa w wersjach do 3.3.1 włącznie jest podatna na przechowywany cross-site scripting przez parametr 'width' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Cool FormKit Lite dla Elementora w wersjach do 2.7.9 włącznie jest podatna na przechowywany DOM-based cross-site scripting przez parametr '_elementor_data.form_fields[].custom_id' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z rolą współautora lub wyższą może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Page and Post Restriction dla WordPressa w wersjach do 1.6.1 włącznie jest podatna na obejście uwierzytelniania. Funkcja papr_restrict_page_post_rest_api() ponownie uwierzytelnia użytkownika na podstawie ciasteczka wordpress_logged_in bez weryfikacji nonce REST, co w połączeniu z permisywnym CORS REST pozwala nieuwierzytelnionemu atakującemu odczytywać odpowiedzi REST API jako zalogowana ofiara.

Wtyczka Firelight Lightbox dla WordPressa w wersjach przed 2.3.23 nie escapuje adresów URL linków otwieranych w klasycznym lightboxie przed wstawieniem ich do strony jako HTML. Umożliwia to użytkownikom z rolą współautora przeprowadzanie przechowywanych ataków cross-site scripting na użytkowników klikających spreparowany link.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.1 nie weryfikuje, czy użytkownik edytujący istniejący wpis jest jego autorem. Umożliwia to użytkownikom z dostępem do edycji formularza (nawet z rolą subskrybenta) nadpisywanie tytułu, treści i statusu dowolnych wpisów lub stron innych użytkowników, w tym administratorów.

Wtyczka BuddyForms dla WordPressa w wersjach przed 2.10.3 nie sprawdza, czy żądający ma uprawnienia do zarządzania formularzem przed eksportem jego konfiguracji. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień dowolnego formularza, w tym adresów e-mail odbiorców powiadomień i kluczy tajnych reCAPTCHA.

Wtyczka Fraud Prevention For WooCommerce and EDD dla WordPressa w wersjach przed 2.3.6 nie sprawdza, czy użytkownik ma uprawnienia do zarządzania zamówieniami, zanim pozwoli mu dodać dane klienta zamówienia do czarnej listy oszustw. Umożliwia to użytkownikom z rolą subskrybenta i wyższą blokowanie składania zamówień przez dowolnych legalnych klientów.

Wtyczka WordPress Joinchat przed wersją 6.4.2 nie escapuje komunikatu bloku przycisku przed wyświetleniem go w atrybucie HTML na stronie frontowej. Umożliwia to użytkownikom z rolą Author i wyższą przeprowadzanie ataków Stored Cross-Site Scripting wymierzonych w każdego odwiedzającego wpis, w tym administratorów.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzanie ataków SQL injection.

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje danych śledzących pochodzących z publicznych żądań odwiedzających przed ich zapisaniem i wyświetleniem w panelu statystyk administracyjnych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy zalogowany administrator przegląda strony statystyk.

Wtyczka WordPress User Frontend przed wersją 4.3.14 nie sanityzuje ani nie escapuje niektórych wartości dostarczanych przez użytkownika przed odzwierciedleniem ich w atrybutach HTML w publicznie dostępnej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting. Dotknięta akcja jest chroniona nonce dla anonimowych użytkowników, który jest ważny tylko dla żądań niezalogowanych, więc ładunek wykonuje się wobec niezalogowanych odwiedzających, a nie uwierzytelnionych użytkowników.

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie ogranicza przeglądarki plików File System Watcher do Super Adminów ani do plików, które legalnie śledzi. Pozwala to administratorowi niebędącemu Super Adminem, w tym administratorowi podstrony w multisite WordPress, na odczyt zawartości wrażliwych śledzonych plików, takich jak główny plik konfiguracyjny, i ujawnienie kluczy uwierzytelniania, soli oraz, w standardowej instalacji, danych dostępowych do bazy danych.

Wtyczka WordPress Security Plugin, Firewall & Malware Scanner with Auto Removal przed wersją 2.191 nie weryfikuje hasła konta przed zaakceptowaniem kodu dwuskładnikowego z aplikacji authenticator przy logowaniu. Pozwala to każdej osobie posiadającej aktualny kod authenticator użytkownika na zalogowanie się jako ten użytkownik, w tym administrator, bez znajomości hasła.

Wtyczka WordPress Enable Media Replace przed wersją 4.2.3 nie ogranicza klas dozwolonych podczas deserializacji przechowywanych metadanych w procedurze zamiany mediów i aktualizacji linków. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie obiektu PHP, który jest instancjonowany, gdy użytkownik z uprawnieniami do przesyłania wykonuje rutynową zamianę mediów, co prowadzi do PHP Object Injection i lokalnego włączenia istniejących plików PHP/HTML, co może zostać eskalowane do zdalnego wykonania kodu, gdy na serwerze znajduje się plik PHP lub HTML pod wpływem atakującego. Jest to regresja CVE-2023-4643, naprawiona w 4.1.3 i ponownie wprowadzona w 4.1.4.

Wtyczka Forminator Forms dla WordPressa jest podatna na ograniczone usuwanie plików we wszystkich wersjach do 1.55.0.2 włącznie. Wtyczka przyjmuje dowolne metadane pola upload z żądań POST w szkicach bez odpowiedniej walidacji, co jest wykorzystywane do usuwania plików, gdy kolejny szkic odwołuje się do zatrutego szkicu poprzez parametr previous_draft_id. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików nie-PHP w katalogu wp-content/uploads/.

Wtyczka Export and Import Users and Customers dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.7.5 włącznie. Podatność wynika z niezgodności znaków ucieczki CSV między eksporterem (fputcsv z domyślnym backslashem) a importerem (fgetcsv z cudzysłowem jako znakiem ucieczki), co pozwala na wstrzyknięcie dodatkowego wiersza i utworzenie konta administratora przez atakującego z uprawnieniami Subskrybenta.

W glib-networking wykryto błąd polegający na braku limitu liczby biletów sesji TLS 1.3 przechowywanych w pamięci podręcznej po stronie klienta dla jednego hosta. Złośliwy serwer może wysyłać nadmierną liczbę komunikatów z biletami sesji, powodując ciągły wzrost zużycia pamięci przez aplikację klienta, co prowadzi do wyczerpania pamięci i odmowy usługi (DoS).

Moduł Xray Audit dla Drupala zawiera podatność typu brak autoryzacji, która umożliwia atakującemu wymuszone przeglądanie (forceful browsing) niedozwolonych zasobów. Problem dotyczy wersji od 0.0.0 do 1.6.3, od 2.0.0 do 2.0.4 oraz od 3.0.0 do 3.1.1.