Katalog podatności CVE

Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie posiada sprawdzeń autoryzacji dla kilku operacji zmieniających stan, a porównanie sekretów, którego używa zamiast tego, może zostać ominięte na instalacjach, gdzie klucz sekretny nigdy nie został ustawiony, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnego JavaScriptu, który jest wykonywany w przeglądarce każdego odwiedzającego witrynę.

Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie wykonuje żadnego sprawdzenia uprawnień ani nonce przed umożliwieniem uwierzytelnionemu użytkownikowi nadpisania konfiguracji całej witryny, ani nie escapuje tych wartości konfiguracyjnych przed wydrukowaniem ich w bloku skryptu inline na każdej stronie front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu, w tym administratorom.

Wtyczka Web Vitals Tracking dla WordPressa do wersji 5.4.2 nie waliduje ani nie escapuje pomiarów wydajności przesłanych przez nieuwierzytelnionych odwiedzających przed ich zapisaniem i wyświetleniem w kontekście skryptu na stronie administracyjnej, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom.

Wtyczka HootBoard dla WordPressa do wersji 3.1.4 nie przeprowadza kontroli autoryzacji na niektórych punktach końcowych REST i nie escapuje wartości przechowywanych przez te punkty przed wyświetleniem ich na publicznej stronie, co pozwala nieuwierzytelnionym użytkownikom wstrzykiwać dowolne skrypty webowe, które wykonają się w przeglądarce każdego odwiedzającego, w tym administratorów.

Wtyczka Crowdfundly dla WordPressa do wersji 2.2.2 nie posiada kontroli uprawnień na niektórych akcjach AJAX, co pozwala użytkownikom z niskimi rolami nadanymi przez tę wtyczkę na przyznanie sobie roli administratora lub dowolnych uprawnień, prowadząc do całkowitego przejęcia witryny.

Wtyczka click5 CRM add-on do Contact Form 7 dla WordPressa do wersji 1.0.4 nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed wyświetleniem ich na stronie administracyjnej, co prowadzi do Stored XSS, które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka click5 CRM add-on do Gravity Forms dla WordPressa do wersji 1.0.3 nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed wyświetleniem ich na stronie administracyjnej, co prowadzi do Stored XSS, które może być wykorzystane przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do Ninja Forms (do wersji 1.0.1) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Tcard WP (do wersji 1.8.0) nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL w jednej z nieuwierzytelnionych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Wtyczka WooCommerce Bookings dla WordPressa przed wersją 3.11.0 nie ogranicza wartości dostarczonej przez użytkownika przed użyciem jej do alokacji pamięci w jednej z nieuwierzytelnionych akcji AJAX, co pozwala nieuwierzytelnionym atakującym na wyczerpanie pamięci serwera i spowodowanie Denial of Service pojedynczym żądaniem.

Wtyczka WeddingCity Lite dla WordPressa do wersji 1.0.4 nie przeprowadza żadnych kontroli autoryzacji ani poprawności przed usuwaniem postów, stron i załączników multimedialnych, co pozwala nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych treści w całej witrynie.

Wtyczka WordPress Envira Gallery w wersji przed 1.16.2 nie weryfikuje, czy użytkownik posiada uprawnienia zarezerwowane przez WordPress do instalowania wtyczek, przed przetwarzaniem żądania instalacji przez kreatora konfiguracji. Administrator podstrony Multisite może zainstalować dowolną wtyczkę z WordPress.org do współdzielonego katalogu wtyczek sieci, co jest uprawnieniem zarezerwowanym dla Super Admina sieci.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków SQL injection.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie ogranicza prawidłowo, które klucze meta użytkownika zalogowany użytkownik może aktualizować przez jedną z jej tras REST. Umożliwia to każdemu użytkownikowi z samodzielnie zarejestrowanym kontem, np. klientowi, przyznanie sobie roli administratora.

Wtyczka WordPress Prenotazioni w wersji do 1.7.5 włącznie nie posiada kontroli autoryzacji ani CSRF podczas zapisywania ustawień, a także nie escapuje niektórych z nich przy ich wyświetlaniu. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków Stored Cross-Site Scripting wymierzonych w administratorów i odwiedzających witrynę.

W Studio-Saelix Sencho do wersji 0.94.1 wykryto podatność w pliku /api/auth/login (komponent Login Endpoint). Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; poprawka nosi nazwę 79b86ddcd4aefdd6941f098e35990ab397b13c72.

Wukong_HRM do commita 186115e zawiera podatność braku autoryzacji, ponieważ EmployeeAspect przypisuje każdemu wywołującemu rolę administratora HR, a kontrole zakresu danych w EmployeeUtil zwracają wszystkich pracowników. Każdy uwierzytelniony pracownik o niskich uprawnieniach może odczytywać odcinki wypłat, rekordy wynagrodzeń, karty bankowe i dane osobowe, edytować karty bankowe oraz usuwać pracowników, działy i umowy w całej firmie.

Wtyczka WordPress MultiVendorX do wersji 5.0.19 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom sprzedawców modyfikować ustawienia całego marketplace poprzez endpoint REST settings. Atakujący z rolą store_owner może wysyłać żądania POST do /wp-json/multivendorx/v1/settings, chronione jedynie uprawnieniem edit_stores, aby nadpisać ustawienia prowizji, wypłat i onboardingu.

ImageMagick na Windows do wersji 7.1.2-33 i 6.9.13-58 zawiera podatność niekontrolowanej ścieżki wyszukiwania w funkcji NTGhostscriptEXE(), która uruchamia gswin64c.exe po samej nazwie, gdy Ghostscript nie jest zarejestrowany. Atakujący może umieścić złośliwy plik gswin64c.exe w katalogu roboczym, aby wykonać kod z uprawnieniami ImageMagick podczas konwersji plików PDF, PostScript lub EPS.