Katalog podatności CVE

Wtyczka Bulk Page Generator – LPagery dla WordPress w wersjach do 3.1.0 włącznie jest podatna na obejście autoryzacji, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może tworzyć, modyfikować i usuwać strony zarządzane przez LPagery oraz procesy masowego generowania stron zarezerwowane dla administratorów. Na domyślnych świeżych instalacjach, w których nie wybrano Freemius, klucz AES-256-CBC używany do walidacji tokenów Bearer sprowadza się do publicznie znanego hasha SHA-256 pustego ciągu, co czyni token całkowicie podrabialnym.

Wtyczka Mang Board dla WordPress w wersjach do 2.4.4 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wstrzykiwać dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika. Obejście sanityzacji jest dodatkowo ułatwione przez możliwość pominięcia parametru data_type w żądaniu modyfikacji, co całkowicie pomija gałąź HTMLPurifier i pozostawia jedynie kodowanie mbw_htmlspecialchars2 — w pełni odwracane przy renderowaniu.

Wtyczka Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy dla WordPress w wersjach do 1.2.0 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'image_hub_api_keys_* (6 opcji)'. Uwierzytelniony atakujący z poziomem subskrybenta i wyższym może wyodrębnić jawne poświadczenia API dla sześciu usług zewnętrznych — Giphy, Openverse (client ID i secret), Pexels, Pixabay i Unsplash — emitowane dosłownie do HTML każdej strony administracyjnej przez wp_localize_script. Ujawniony HTML zawiera również ważny nonce AJAX image_hub_nonce, co — w połączeniu z brakiem sprawdzenia uprawnień w handlerze AJAX image_hub_update_settings — pozwala temu samemu atakującemu nadpisać wszystkie sześć zapisanych opcji poświadczeń API przez update_option().

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym użytkownikom na wykonywanie dowolnych shortcode'ów, ponieważ wartość przekazywana do do_shortcode nie jest prawidłowo walidowana. Wykorzystanie jest możliwe na każdej instalacji z motywem blokowym poprzez pojedyncze żądanie GET do strony wyników wyszukiwania lub przez anonimowy komentarz, bez potrzeby posiadania treści Forminator.

Wtyczka Gwolle Guestbook dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'permalink' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Dark Mode – Improve Accessibility with AI Powered Dark Theme dla WordPressa (wersje do 5.3.17 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut shortcode 'icon_light' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa (wersje do 5.2.1 włącznie) jest podatna na Insecure Direct Object Reference poprzez parametr 'password' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami vendor może zmienić hasło do konta WordPress dowolnego klienta, który złożył co najmniej jedno zamówienie u tego vendora, co umożliwia przejęcie konta klienta.

Wtyczka Cooked – Recipe Management dla WordPressa (wersje do 1.16.1 włącznie) jest podatna na trwały Cross-Site Scripting poprzez zawartość shortcode [cooked-timer] z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wheels w wersjach do 4.1.1 włącznie wyznacza domyślny adres e-mail do zgłaszania błędów produkcyjnych na podstawie nagłówka Host żądania, które uruchamia aplikację. Jeśli nie skonfigurowano jawnego odbiorcy, atakujący może wywołać zimny start i przekierować późniejsze e-maile z błędami na swój adres, ujawniając metadane błędów i żądań, a w niektórych przypadkach także sekrety konfiguracji i dane sesji innych użytkowników. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 3.0.0 do 4.1.1 może ujawnić szczegółowe wyjątki, gdy allowIPBasedDebugAccess=true (domyślnie wyłączone). Żądanie dozwolonego administratora zmienia ustawienia wyświetlania błędów w współdzielonym zakresie aplikacji, a jeśli nakłada się na żądanie nieautoryzowanego klienta, który wywoła błąd, klient ten może otrzymać pełne szczegóły wyjątku, w tym kontekst tagu lub serializowany wyjątek oraz zawarte w nich dane wrażliwe. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 4.0.6 do 4.1.2 pozwala nieuwierzytelnionemu klientowi przełączyć żądanie w kontekst aplikacji testowej, nawet w środowisku produkcyjnym, poprzez nagłówek X-Wheels-Test-Context, cookie WHEELS_TEST_CONTEXT lub ścieżkę test-runnera w URL. Aplikacja alternatywna używa tej samej konfiguracji, środowiska, źródła danych i ustawień debugowania; nie jest to obejście uwierzytelniania ani eskalacja uprawnień, ale może obejść tryb konserwacji, zapewnić dodatkowe liczniki limitów i wywołać dodatkowe efekty uboczne. Poprawka została wydana w wersji 4.2.0.

Backdrop CMS Core w wersjach 1.35.x przed 1.35.2 i 1.34.x przed 1.34.6 nie waliduje wystarczająco przesyłanych obrazów SVG, aby upewnić się, że nie zawierają niebezpiecznych tagów SVG. Poprzez przesłanie spreparowanego pliku SVG możliwe jest wykonanie skryptu w przeglądarce, gdy obraz jest wyświetlany bezpośrednio pod jego adresem URL. Podatność jest ograniczona, ponieważ Backdrop osadza przesłane obrazy SVG w tagach <img>, co zapobiega wykonaniu skryptu.

Wtyczka Debloat – Remove Unused CSS, Optimize JS dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na Directory Traversal poprzez parametr 's'. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać dowolne pliki na serwerze, a przy włączonej funkcji Optimize CSS atak może wywołać nieuwierzytelniony użytkownik pojedynczym żądaniem GET.

Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.

Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.

Nezha od wersji 2.2.5 przed 2.3.15 zawiera podatność ujawnienia informacji, która pozwala uwierzytelnionym użytkownikom odczytać poświadczenia stron trzecich, ponieważ funkcja listDDNS nie usuwa pól WebhookURL i WebhookRequestBody. Administratorzy lub tokeny PAT z zakresem nezha:ddns:read mogą wywołać GET /api/v1/ddns i odczytać tokeny w postaci jawnej.

Nezha od wersji 1.7.0 przed 2.3.15 zawiera podatność ujawnienia informacji, która pozwala uwierzytelnionym członkom wyliczać identyfikatory serwerów innych dzierżawców poprzez zróżnicowane odpowiedzi. Atakujący może skanować kolejne identyfikatory w getServerConfig i setServerConfig, odróżniając odmowę dostępu od odpowiedzi sukcesu.

Nezha od wersji 2.1.0 przed 2.3.15 zawiera podatność host header injection w mintTransferTool, która buduje adresy fs.download_url i fs.upload_url na podstawie niezwalidowanego nagłówka Host. Atakujący kontrolujący nagłówek Host w żądaniu ofiary może przekierować przesyłane pliki lub przechwycić jednorazowe tokeny pobierania.

Nezha od wersji 1.0.0 przed 2.3.15 zawiera podatność wyczerpania pamięci w punkcie końcowym WebSocket menedżera plików, ponieważ fmStream nigdy nie wywołuje SetReadLimit, pozostawiając rozmiar wiadomości nieograniczony. Uwierzytelniony użytkownik z uprawnieniami menedżera plików może wysłać jedną zbyt dużą wiadomość binarną na /api/v1/ws/file/:id, wywołując zabicie procesu przez OOM.