Katalog podatności CVE

W Assimp do wersji 6.0.5 występuje podatność przepełnienia liczb całkowitych w funkcji MD2Importer::ValidateHeader(), pozwalająca atakującym obejść sprawdzanie granic tablicy klatek za pomocą spreparowanych pól nagłówka. Atakujący może dostarczyć złośliwy plik .md2, którego wartości numFrames i numVertices powodują przepełnienie 32-bitowego sprawdzenia rozmiaru, wywołując odczyty poza granicami sterty, które powodują awarię aplikacji lub ujawnienie sąsiedniej pamięci sterty.

Xerte Online Toolkits do wersji 3.15.5 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym użytkownikom z uprawnieniami systemowymi na uruchomienie PHP poprzez import spreparowanego pakietu językowego. Atakujący mogą przesłać ZIP przez import_language.php zawierający plik .inc, a następnie zażądać go przez parametr language, aby wykonać kod na serwerze.

NexoPOS do wersji 6.3.0 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym kasjerom na manipulowanie sesjami kasowymi innych kasjerów, ponieważ CashRegistersService nigdy nie porównuje pola used_by z użytkownikiem. Atakujący posiadający domyślne uprawnienie nexopos.use.registers może wysyłać akcje zamknięcia, cash-in lub cash-out do POST /api/cash-registers/{action}/{register}, aby wymusić zamknięcie sesji lub zmienić salda.

nopCommerce przed wersją 5.00.0 zawiera podatność braku autoryzacji w handlerach administracyjnych ProductController RelatedProductAddPopup, CrossSellProductAddPopup i AssociatedProductAddPopup, które nie weryfikują własności produktu nadrzędnego. Uwierzytelnieni sprzedawcy mogą przesłać identyfikator produktu innego sprzedawcy jako model.ProductId, aby wstrzyknąć swoje produkty do list produktów powiązanych, cross-sell i grupowych ofiary.

GROWI zawiera podatność braku sprawdzania autoryzacji w funkcji edycji współpracy. Wykorzystując tę podatność, użytkownik z uprawnieniami tylko do odczytu, w tym użytkownik gość, lub użytkownik o statusie oczekującym, zawieszonym lub zaproszonym, może modyfikować wersje robocze stron.

Wtyczka affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display dla WordPressa w wersjach do 3.9.2 włącznie jest podatna na przechowywany XSS przez parametr 'atkp_product_producturl' z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się przy wejściu na stronę, jeśli włączone jest ładowanie AJAX i znane jest ID produktu; w domyślnej konfiguracji wymaga to uprawnień contributor.

Wtyczka AI Marketing Expert dla WordPressa w wersjach do 1.2.8 włącznie jest podatna na przechowywany DOM-based XSS przez parametr 'name' z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonają się, gdy administrator otworzy wp-admin/index.php, pod warunkiem że moduł chatbota jest aktywny z co najmniej jednym skonfigurowanym botem.

Wtyczka All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'more_link' we wszystkich wersjach do 4.9.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

GROWI zawiera podatność obejścia autoryzacji w API aktualizacji tagów i API aktualizacji stron z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, atakujący mogący zalogować się do produktu może uzyskać zawartość stron bez wymaganych uprawnień do odczytu i zapisać je na stronach, które może edytować.

Wtyczka All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'custom_fields[embedcode]' we wszystkich wersjach do 4.9.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Obejście sanityzacji jest możliwe, ponieważ handler save_meta_data() zwraca wcześnie, gdy brakuje $_POST['post_type'] — warunek zawsze prawdziwy podczas żądań XML-RPC — a wtyczka bezwarunkowo przyznaje subskrybentom uprawnienie publish_aiovg_videos, co czyni to wykorzystywalnym przez każdego uwierzytelnionego użytkownika poprzez pojedyncze wywołanie wp.newPost XML-RPC.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPress jest podatna na ograniczone usuwanie plików multimedialnych z powodu niewystarczającej walidacji ścieżki pliku w funkcji upload_file we wszystkich wersjach do 3.8.4 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym usuwanie dowolnych plików multimedialnych na serwerze. Wymaga to włączenia opcji Public API przez administratora, a wykorzystanie zależy od uruchomienia godzinowego zadania cleanup_files po złośliwym przesłaniu.

Wtyczka Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'user_url' we wszystkich wersjach do 2.14.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga kliknięcia przez odwiedzającego linku Website URL atakującego na jego publicznym profilu Ultimate Member, co jest trywialnie spełnione, ponieważ handler onclick potwierdzenia przekierowania jest domyślnie włączony we wszystkich nowych instalacjach.

GROWI zawiera podatność obejścia autoryzacji w funkcjonalności przeglądania stron i komentowania z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, uwierzytelniony atakujący może uzyskać zawartość i komentarze stron bez wymaganych uprawnień do odczytu.

CrushFTP przed wersją 7.3.0 zawiera podatność na cross-site request forgery (CSRF), która pozwala atakującym na wykonywanie działań administracyjnych, ponieważ ochrona CSRF jest domyślnie wyłączona. Atakujący mogą zwabić uwierzytelnionego administratora na złośliwą stronę, która wysyła żądania POST do poleceń takich jak setUserItem, tworząc użytkowników z dostępem root lub zmieniając konfigurację serwera.

W qEngine CMS, Kemana Directory i Cart Engine występuje podatność nieograniczonego przesyłania plików w polach administracyjnych obrazów. Użytkownicy z rolą edytora mogą przesłać skrypty PHP przez parametry page_image lub cat_image do katalogu /public/image i spowodować ich wykonanie na serwerze.

C97net qEngine CMS do wersji 6.0.0, Kemana Directory do wersji 1.5.6 i Cart Engine do wersji 3.0.0 zawierają podatność lokalnego włączania plików w parametrze run w admin/task.php. Uwierzytelnieni administratorzy mogą dostarczyć sekwencje przechodzenia katalogów w parametrze run, aby włączyć i ujawnić lokalne pliki czytelne dla serwera WWW.

W produktach C97net qEngine CMS do wersji 6.0.0, Kemana Directory do 1.5.6 oraz Cart Engine do 3.0.0 występuje podatność ujawnienia informacji polegająca na pozostawieniu kopii zapasowych bazy danych w katalogu /admin/backup dostępnym przez WWW. Nieuwierzytelniony atakujący może wylistować katalog lub odgadnąć nazwy plików oparte na dacie (np. 'Full Backup YYYYMMDD.sql') i pobrać zrzuty zawierające rekordy użytkowników oraz hashe haseł administratorów.

Linksys WAG200G do wersji 1.01.06 zawiera podatność przechowywanego XSS, która pozwala uwierzytelnionym atakującym wstrzyknąć skrypty poprzez parametr policy_name w setup.cgi. Atakujący może zapisać złośliwą nazwę polityki na stronie AccessRes.htm, która wykonuje się w przeglądarkach administratorów podczas przeglądania strony Status > Wireless.

Linksys WAG200G do wersji 1.01.06 zawiera słaby mechanizm zmiany hasła, który pozwala atakującym zmienić hasło administratora bez podania aktualnego hasła. Atakujący mający dostęp do uwierzytelnionej sesji przeglądarki administratora może ustawić nowe hasło, blokując legalnego administratora i przejmując trwałą kontrolę nad urządzeniem.

W routerze Linksys WAG200G występuje podatność wstrzyknięcia poleceń systemowych, pozwalająca uwierzytelnionemu atakującemu na wykonanie poleceń poprzez wstrzyknięcie danych w ogranicznikach backtick do parametru timer_interval. Atakujący może wysłać spreparowane żądanie POST do setup.cgi, aby uruchomić telnetd lub pobrać i uruchomić backdoora, uzyskując pełną kontrolę nad urządzeniem.