Katalog podatności CVE

Wtyczka Push Notification for Post and BuddyPress (Muralidharan Ramasamy) w wersjach do 3.23 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Podatność bezpieczeństwa w HPE NonStop TSQLFIL może powodować uszkodzenie przestrzeni adresowej, gdy wywołane zostanie określone API.

Wtyczka WordPress Responsive Blocks przed wersją 2.3.0 nie sanityzuje ani nie escapuje niektórych wartości przesyłanych w bloku Form przed dodaniem ich do wiadomości e-mail z powiadomieniem HTML wysyłanej do właściciela witryny. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML, takiego jak linki phishingowe, do tej wiadomości e-mail.

Wtyczka Tickera dla WordPressa przed wersją 3.6.0.4 nie weryfikuje poprawnie integralności przychodzących powiadomień o płatnościach, a podpis nie obejmuje zamówienia ani kwoty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia płatności i oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wtyczka WPForms Lite dla WordPressa przed wersją 2.0.2.2 nie weryfikuje po stronie serwera, czy płatność została zakończona przed przyjęciem zgłoszenia w formularzach korzystających z bramki PayPal Commerce. Umożliwia to nieuwierzytelnionym odwiedzającym wysyłanie płatnych formularzy bez płacenia, a potwierdzenie i e-maile powiadamiające są wysyłane mimo braku zamówienia u dostawcy płatności.

Podatność w HPE NonStop TSQLEXE może spowodować awarię aplikacji w wyniku spreparowanego zapytania SQL.

Podatność w HPE NonStop TMF Auditread2 może powodować odmowę usługi (Denial of Service).

Podatność w TSplus Remote Access wynika z nieprawidłowych uprawnień do współdzielonych skryptów logowania. Pliki autostart1.tscr w katalogu motywów umożliwiają użytkownikom bez wystarczających uprawnień zapis do nich. Lokalny atakujący z ważną sesją na serwerze terminalowym lub zdalnym może zmodyfikować te pliki, aby wykonać dowolne polecenia w kontekście bezpieczeństwa innego użytkownika podczas jego logowania, co może prowadzić do eskalacji uprawnień lub ruchu bocznego.

Wtyczka Visma Pay dla WooCommerce przed wersją 1.2.2 nie weryfikuje autentyczności żądań zwrotnych z bramki płatności, polegając na sekretnym kluczu, który jest pusty w sklepie, który nie wprowadził swoich danych uwierzytelniających. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych oraz ujawnienie imienia, adresu e-mail i adresu pocztowego klienta dowolnego zamówienia.

Wtyczka WPCode dla WordPressa przed wersją 2.4.0 nie weryfikuje poprawnie, czy żądanie dotyczy ekranu logowania przed wejściem w tryb bezpieczny fragmentów kodu. Umożliwia to nieuwierzytelnionym odwiedzającym wyłączenie wszystkich automatycznie wstawianych fragmentów kodu dla ich własnych żądań.

W bibliotece parsera kodeka H.266 GStreamer (libgstcodecparsers) występuje podatność polegająca na zapisie poza granicami w funkcji parsowania DCI, gdzie błędnie akceptowana jest wartość pola zarezerwowanego, co powoduje zapis poza granice wewnętrznej struktury. Atakujący może wykorzystać to, dostarczając specjalnie spreparowany strumień bitowy H.266 do aplikacji trzeciej strony korzystającej z tej biblioteki, co może spowodować awarię lub uszkodzenie pamięci. Żaden standardowy element potoku GStreamer nie wywołuje obecnie tej ścieżki kodu.

HPE NonStop MODULAR NSJ zawiera podatność polegającą na przewidywalnym ziarnie w generatorze liczb losowych (PRNG).

W clevis PKCS#11 pin znaleziono wadę: skrypt clevis-decrypt-pkcs11 przekazuje PIN tokena PKCS#11 jako argument wiersza poleceń do pkcs11-tool, co czyni go widocznym dla każdego lokalnego użytkownika poprzez listę procesów lub system plików /proc.

Wada w clevis PKCS#11 pin: skrypt clevis-luks-pkcs11-askpin zapisuje PIN tokenu PKCS#11 w postaci zwykłego tekstu do pliku bez odpowiednich uprawnień. Przy domyślnej masce uprawnień plik jest czytelny dla wszystkich użytkowników. Ponadto plik z PIN-em nie jest niezawodnie usuwany, jeśli skrypt zakończy się wcześniej, pozostawiając PIN dostępny bezterminowo.

Wada w clevis PKCS#11 pin: demon clevis-pkcs11-afunix-socket-unlock tworzy gniazda AF_UNIX bez jawnych ograniczeń uprawnień lub weryfikacji poświadczeń peer. Przy permisywnej masce uprawnień każdy lokalny użytkownik może połączyć się z gniazdem kontrolnym i wstrzykiwać dowolne pary urządzenie/klucz lub połączyć się z gniazdem danych, aby otrzymać hasła LUKS.

Wada w frameworku GStreamer w pluginie muxera ASF (asfmux). Podczas zapisywania metadanych tekstowych zawierających znaki Unicode spoza Basic Multilingual Plane (np. emoji) do kontenera ASF, plugin błędnie oblicza rozmiar bufora potrzebny dla reprezentacji UTF-16LE. Obliczenia zakładają, że każdy punkt kodowy wymaga 2 bajtów, ale znaki spoza BMP wymagają 4 bajtów (pary zastępcze). Prowadzi to do zapisu poza granicami sterty, gdy rzeczywista konwersja UTF-16LE jest zapisywana do zbyt małego bufora. Atakujący może wykorzystać to, dostarczając media ze spreparowanymi metadanymi do aplikacji transkodującej lub remuxującej do formatu ASF, co może spowodować odmowę usługi lub ograniczone uszkodzenie pamięci.

Problem zewnętrznej kontroli pozornie niezmiennego parametru webowego istnieje we wtyczce EC-CUBE (dla serii EC-CUBE 4) "AmazonPay Plugin". Jeśli zostanie wykorzystany, użytkownik może zostać przekierowany na dowolną stronę internetową podczas procesu zamawiania. W rezultacie dane konta użytkownika mogą zostać uzyskane.

Brak autoryzacji w wtyczce WordPress 10up Restricted Site Access (restricted-site-access) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy Restricted Site Access od wersji n/a do 7.6.2.

Wtyczka Gallery Custom Links dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'display_name (profile.php) + comment (wp-comments-post.php)' we wszystkich wersjach do 2.3.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Eksploit wymaga dwóch skoordynowanych wejść od tego samego uwierzytelnionego atakującego: payload HTML w treści komentarza (zachowany przez WordPress comment kses) oraz pasujący klucz szumu simple_html_dom umieszczony w display_name atakującego (przetrwa esc_attr() nietknięty), z podstawieniem po obu filtrach podczas domyślnego przebiegu buforowania wyjścia plugin.

Wtyczka Meow Lightbox dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'display_name + comment' we wszystkich wersjach do 5.6.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Ta podatność jest wykorzystywana tylko, gdy opcja Output Buffering jest włączona (domyślnie wyłączona) i wymaga, aby atakujący miał co najmniej jeden wcześniej zatwierdzony komentarz na stronie, aby kolejne komentarze były automatycznie zatwierdzane przez WordPress.