Katalog podatności CVE

Wtyczka SMS Alert dla WordPressa w wersjach przed 4.0.1 nie weryfikuje, że konto, na które następuje logowanie, jest tym, do którego należy zweryfikowany kod jednorazowy. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik z zapisanym numerem telefonu, w tym administrator, poprzez wykonanie wyzwania kodowego na kontrolowanym telefonie.

Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na trwały atak XSS przez webhook Auphonic w wersjach do 4.5.6 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Atak jest wyzwalany przez wysłanie żądania do endpointu webhook z polem status_string innym niż 'Done'.

Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.

Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co prowadzi do wstrzyknięcia SQL możliwego do wykorzystania przez nieuwierzytelnionych użytkowników.

Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje wartości przesyłanych przez nieuwierzytelniony endpoint przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS wykonywanego w sesji każdego administratora, który ją wyświetli.

Wtyczka FV Player 8 dla WordPress w wersjach do 8.1.7 włącznie jest podatna na dowolne przesyłanie plików poprzez funkcję check_mimetype. Wynika to z niewystarczającej walidacji typu pliku w check_mimetype(), która zapisuje dostarczoną przez atakującego zdalną zawartość pliku do publicznego katalogu uploads przed sprawdzeniem MIME lub rozszerzenia, w połączeniu z brakiem sprawdzenia uprawnień przy tworzeniu nowego odtwarzacza. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym przesłanie plików, które mogą być wykonywalne, co może prowadzić do zdalnego wykonania kodu; wymaga to wykorzystania warunku wyścigu i jest możliwe tylko gdy obecny jest shortcode '[fvplayer_editor]' lub włączone jest ustawienie "Enable profile videos".

Wtyczka FooSales dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 1.43.0 włącznie. Wtyczka nie weryfikuje poprawnie tożsamości użytkownika przed aktualizacją jego danych, co pozwala uwierzytelnionym atakującym z dostępem na poziomie kasjera i wyższym na zmianę adresów email innych użytkowników, w tym administratorów, a następnie zresetowanie hasła i przejęcie konta.

Wtyczka Easy Digital Downloads dla WordPressa do wersji 3.6.9 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametry PayPal IPN. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka GeoDirectory dla WordPressa do wersji 2.8.187 włącznie jest podatna na Local File Inclusion (LFI) przez parametr 'design_type'. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co może prowadzić do obejścia kontroli dostępu, uzyskania wrażliwych danych lub wykonania kodu.

Wtyczka LatePoint dla WordPressa do wersji 5.7.3 włącznie jest podatna na eskalację uprawnień. Brak listy dozwolonych nazw i wartości ustawień oraz brak walidacji roli dla ustawienia 'default_wp_role_for_customer' umożliwia uwierzytelnionym atakującym z uprawnieniem 'settings__edit' (np. agentom) nadpisanie domyślnej roli WordPressa na 'administrator', co powoduje tworzenie nowych kont klientów z pełnymi uprawnieniami administratora.

Wtyczka WordPress Rank Math SEO w wersji przed 1.0.280 nieprawidłowo weryfikuje typ pliku przesyłanego przez funkcję importu ustawień. Umożliwia to użytkownikom z uprawnieniami administratora przesłanie pliku PHP i uzyskanie zdalnego wykonania kodu.

Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.

Wtyczka LifterLMS dla WordPressa do wersji 10.2.1 włącznie jest podatna na PHP Object Injection przez deserializację niezaufanych danych. Uwierzytelnieni atakujący z uprawnieniem 'edit_course' (np. instruktorzy) mogą wstrzyknąć obiekt PHP, co może prowadzić do usunięcia plików, kradzieży danych lub wykonania kodu, jeśli w witrynie jest zainstalowany plugin lub motyw z łańcuchem POP.

Wtyczka rtMedia dla WordPress, BuddyPress i bbPress do wersji 4.7.13 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji process. Nieuwierzytelnieni atakujący mogą usuwać dowolne bezpieczne pliki na serwerze, wykorzystując publiczny nonce dostępny w JavaScript na stronach z galerią rtMedia.

Wtyczka Fastcache by Host.it do wersji 1.7.4 włącznie jest podatna na wstrzykiwanie kodu przez parametr `fastcache_settings[cache_cookie_exclude][]`. Rejestracja ustawienia bez sanitize_callback oraz interpolacja wartości do linii RewriteCond w .htaccess bez usuwania znaków nowej linii umożliwia uwierzytelnionym administratorom wstrzyknięcie dowolnych dyrektyw Apache, w tym php_value auto_prepend_file, co pozwala na wykonanie kodu PHP przy każdym żądaniu.

Wtyczka Advanced Form Integration do wersji 2.9.0 włącznie jest podatna na obejście uwierzytelniania przez niezweryfikowaną zmianę hasła. Funkcja adfoin_ultimatememberac_send_data przekazuje kontrolowane przez atakującego pole i wartość do update_profile() w kontekście 'account', które omija walidację zabronionych kluczy, bez weryfikacji tożsamości, uprawnień ani ponownego uwierzytelnienia. Umożliwia to nieuwierzytelnionym atakującym zmianę hasła dowolnego konta, w tym administratora, przez publiczny formularz Contact Form 7.

ExifTool for photo and video 5.0.1-gms by CellHubs konstruuje polecenia powłoki z ścieżek plików i wywołuje /system/bin/sh -c. W ścieżce eksportu CSV wybrana ścieżka multimediów jest tylko otoczona pojedynczymi cudzysłowami, a osadzone pojedyncze cudzysłowy nie są escapowane, co umożliwia wstrzyknięcie poleceń.

Wersje Trident od v25.02.1 do v26.06.1 są podatne na ujawnienie danych — uwierzytelniony atakujący z dostępem do logów debugowania może odczytać hasła LUKS lub poświadczenia SMB Active Directory.

Aegisub w wersjach od 3.2.0 do 3.4.2 automatycznie ładuje skrypty Automation wskazane w metadanych plików ASS bez pytania użytkownika o zaufanie. Otwarcie spreparowanego pliku ASS może spowodować wykonanie dowolnego kodu z uprawnieniami procesu Aegisub; w wersjach 3.4.0–3.4.2 dodatkowo możliwe jest wykonanie samego pliku jako polyglotu ASS/Lua. Podatność naprawiono w wersji 3.5.0.

Vikunja w wersjach przed 2.4.0 przechowuje tokeny resetowania hasła, potwierdzenia e-mail i usunięcia konta w tabeli user_tokens w postaci jawnej. Atakujący z dostępem do odczytu bazy danych może natychmiast użyć oczekujących tokenów do przejęcia kont użytkowników bez znajomości haseł. Problem naprawiono w wersji 2.4.0.