Katalog podatności CVE

WebDyne w wersjach od 2.022 przed 3.022 dla Perla ujawnia kod źródłowy aplikacji nieuwierzytelnionym klientom poprzez przeglądarkę źródeł na domyślnej stronie indeksu. Domyślnie włączona strona indeksu zwraca pliki spod katalogu dokumentów wskazane w parametrze source żądania HTMX, w tym pliki .psp, .pm i .pl. Zdalny atakujący może odczytać kod Perla aplikacji, w tym bloki __PERL__ stron .psp oraz przechowywane w nich dane uwierzytelniające.

WebDyne w wersjach od 2.031 przed 3.022 dla Perla wykonuje pliki mające .psp w dowolnym miejscu nazwy jako strony Perla. Decyzja o uruchomieniu pliku jako strony opiera się na dopasowaniu nazwy do WEBDYNE_PSP_EXT_RE, które nie ma zakotwiczenia końca. Aplikacja sprawdzająca tylko końcowe rozszerzenie przy uploadach pozwala zdalnemu atakującemu wgrać plik taki jak report.psp.pdf i uruchomić jego osadzony Perl poprzez żądanie.

WebDyne w wersjach od 2.014 przed 3.022 dla Perla odzwierciedla parametry żądania bez escapowania w wartościach pól formularza, umożliwiając cross-site scripting. Znaczniki textfield, password_field i filefield wypełniają atrybut value z parametru żądania o tej samej nazwie, a WEBDYNE_CGI_AUTOESCAPE domyślnie jest wyłączone. Od wersji 2.022 WebDyne::HTML::Tiny zastąpiło metodę entity_encode wersją zwracającą dane wejściowe bez zmian, więc włączenie WEBDYNE_CGI_AUTOESCAPE nie działa.

WebDyne w wersjach od 3.007 przed 3.022 dla Perla wykonuje pliki .psp spoza katalogu dokumentów poprzez path traversal w fallbacku trasy API PSGI. Gdy żądanie nie pasuje do żadnego pliku, handler PSGI ponawia je jako trasę API przez api_filename, zachowując segmenty .. w ścieżce i sprawdzając jedynie, czy złączona ścieżka zaczyna się od katalogu dokumentów, co żądanie /../private przechodzi. Zdalny atakujący może uruchomić osadzony Perl w dowolnym czytelnym pliku .psp, np. wgranym poza katalog dokumentów.

WebDyne w wersjach od 2.014 przed 3.022 dla Perla wysyła ciasteczka sesji bez atrybutów Secure, HttpOnly i SameSite. WebDyne::Session ustawia ciasteczko sesji tylko z nazwą, wartością i ścieżką. Przeglądarki wysyłają wtedy identyfikator sesji przez zwykły HTTP oraz w żądaniach cross-site i udostępniają go skryptom strony.

Wtyczka Web 2.0 Directory dla WordPressa w wersjach do 2.10.12 włącznie jest podatna na czasową iniekcję SQL poprzez parametr 'w2dc_level_filter'. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych. Parametr jest używany w kontekście całkowitoliczbowym bez otaczających cudzysłowów, więc wbudowane mechanizmy escapowania WordPressa (addslashes/magic_quotes) nie chronią przed ładunkami czasowymi, takimi jak warunki oparte na SLEEP.

Wtyczka BuddyBoss Platform dla WordPressa (do wersji 3.6.0) jest podatna na przechowywany cross-site scripting poprzez nazwę grupy z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego ustawienia "Enable social group creation by all members", które jest domyślne.

Wtyczka NextGEN Gallery dla WordPressa (do wersji 4.4.1) jest podatna na zdalne wykonanie kodu w funkcji render_image. Luka wynika z nieograniczonego przypisywania kluczy meta_data dostarczonych przez użytkownika do modelu obrazu, braku kontroli realpath w konstrukcji ścieżek oraz obejścia sprawdzania podpisu na publicznej trasie dostarczania obrazów. Uwierzytelniony atakujący z dostępem na poziomie custom może wykonać kod na serwerze.

W bibliotece json-glib wykryto błąd, w którym ewaluator wycinków JSONPath używany przez json_path_query() może wejść w nieskończoną pętlę przy wyrażeniu wycinka z ujemnym krokiem. Aplikacja oceniająca wyrażenia JSONPath kontrolowane przez atakującego może zostać zawieszona, co prowadzi do odmowy usługi.

Wtyczka Debug Log Manager dla WordPressa (do wersji 2.5.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'message (and pageUrl)' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego logowania debugowania z aktywnym logowaniem błędów JS oraz uzyskania publicznie emitowanego nonce dlmVars.jsErrorLogging.

W przeglądarce Epiphany istnieje luka umożliwiająca nadpisanie pliku podczas instalacji pakietów WebExtension z plików .xpi. Funkcja decompress_xpi_thread() używała libarchive z archive_read_support_format_all(), co pozwalało na rozpakowanie pliku TAR nazwanego *.xpi; spreparowany dowiązanie twarde może spowodować obcięcie i nadpisanie istniejącego pliku użytkownika z uprawnieniami do zapisu, bez ostrzeżenia, gdy użytkownik zainstaluje lub otworzy złośliwy plik .xpi.

Błąd logiczny w obsłudze uprawnień witryny w Epiphany może spowodować przyznanie dostępu do kamery i mikrofonu, gdy użytkownik zatwierdzi tylko inne uprawnienie. W funkcji set_permission() typy CLIPBOARD i WEBSITE_DATA_ACCESS nie są przechowywane, więc kontrola trafiała do gałęzi else-if, która zawsze ustawiała EPHY_PERMISSION_PERMIT dla ACCESS_WEBCAM i ACCESS_MICROPHONE. Złośliwa witryna, która uzyska zgodę na dostęp do schowka lub danych witryny, może następnie użyć getUserMedia bez dodatkowego monitu.

Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.

Wtyczka Germanized for WooCommerce (do wersji 4.1.4) jest podatna na nieautoryzowany dostęp do prywatnych danych poprzez ponowne użycie tokenu aktywacyjnego. Hak on_user_email_changed, odpowiedzialny za rotację tokenu i zapis znacznika zmiany e-mail, jest rejestrowany tylko w gałęzi is_double_opt_in_login_enabled(), gdy opcja "Disable login for unactivated customers" jest ustawiona na Yes, pozostawiając oryginalny token ?activate= ważny i niepowiązany z adresem e-mail, gdy ustawienie jest na No. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może zmienić swój e-mail na e-mail rozliczeniowy ofiary i wykorzystać token aktywacyjny, aby przypisać zamówienia gościa do swojego konta i uzyskać dostęp do danych ofiary.

Wtyczka WP Directory Kit dla WordPressa (do wersji 1.6.0) jest podatna na ogólną iniekcję SQL poprzez parametr 'idfield' z powodu niewystarczającego escapowania danych wejściowych użytkownika i braku odpowiedniego przygotowania zapytania SQL. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka FlexStock dla WordPressa (do wersji 3.17.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'products[].post_content' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywana przez ujawnienie tokenu bearer w źródle strony Dashboardu bez sprawdzenia uprawnień oraz przez endpoint REST, który waliduje tylko token bearer, a nie uprawnienia użytkownika.

Wtyczka WooCommerce Extra Product Options Pro dla WordPressa jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr '<fieldname>_start / <fieldname>_end' we wszystkich wersjach do 3.3.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Podatność jest wykorzystywana tylko na stronach produktów, na których skonfigurowano pole Date & Time Range Picker.

Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.

Wtyczka WP Activity Log dla WordPressa (wersje do 5.6.1) jest podatna na przechowywany cross-site scripting (Stored XSS) z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Smart Post dla WordPressa (wersje do 4.0.9) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'display_name' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Eksploatacja wymaga, aby strona ofiary zawierała blok Author Filter wraz z blokiem siatki lub live-filter, a wykonanie jest wyzwalane przez kliknięcie wpisu autora atakującego w rozwijanym menu.