Katalog podatności CVE

Wtyczka FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment dla WordPressa jest podatna na ogólny SQL Injection przez warunek wyświetlania formularza FireBox we wszystkich wersjach do 3.1.13 włącznie, z powodu niewystarczającej ucieczki parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Na świeżych instalacjach w wersji 3.1.10 i nowszych wykorzystanie wymaga dostępu na poziomie administratora; jednak na stronach zaktualizowanych z wersji wcześniejszej niż 3.1.10, migracja preserveCampaignRoleAccess() nadaje uprawnienie edit_fireboxes każdej roli, która wcześniej miała edit_posts, zmniejszając minimalny wymagany przywilej do poziomu autora.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPressa jest podatna na odbity atak XSS przez parametr 'inputs (array key)' we wszystkich wersjach do 1.15.48 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.

Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.14 włącznie jest podatna na Reflected Cross-Site Scripting przez parametr 'any attacker-chosen name matching the {get.NAME} placeholder' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby administrator skonfigurował pole Custom HTML na opublikowanym formularzu zawierające SmartCode {get.*} w atrybucie akceptującym URL, takim jak iframe src lub a href.

Wtyczka Table Field Add-on for ACF and SCF dla WordPressa do wersji 1.4.1-RC2 włącznie jest podatna na Stored Cross-Site Scripting przez wartość pola Table Field z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Urządzenie ZTE Z80 Ultra ma defekt weryfikacji uprawnień interfejsu systemowego. Interfejs nie posiada niezbędnej kontroli dostępu, a odpowiednie informacje mogą być odczytane przez refleksyjne wywołanie interfejsu.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'id, wp_user_id' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą nadpisać powiązanie konta WordPress dla dowolnego rekordu personelu Bookly, w tym należącego do administratorów, skutecznie przejmując powiązanie konta pracownika o wyższych uprawnieniach i eskalując przywileje.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na ujawnienie wrażliwych informacji przez klasyczny formularz rezerwacji w kroku Details. Endpoint bookly_render_details jest zarejestrowany dla wp_ajax i wp_ajax_nopriv, moduł nadpisuje csrfTokenValid() aby zawsze zwracał true, a funkcja getCodes() ładuje encję Customer kluczowaną wyłącznie przez podany przez atakującego telefon (lub email) bez wywołania predykatu customerIdentityConfirmed(). Gdy właściciel strony umieścił placeholdery {client_name}, {client_email}, {client_phone} lub {client_note} w tekście informacyjnym kroku Details, dane przechowywanego klienta są podstawiane do zwracanego HTML.

Wtyczka Advanced Classifieds & Directory Pro dla WordPressa do wersji 3.4.4 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'phone' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna tylko na stronach, gdzie włączone jest ustawienie 'Force Bootstrap' i widget 'ACADP Listing Address' jest umieszczony na pasku bocznym wyświetlanym na stronach pojedynczych ogłoszeń; oba warunki nie są domyślne.

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą trwale usuwać dowolne komentarze lekcji Academy i ich odpowiedzi, napisane przez dowolnego użytkownika, w tym administratorów, w kursach, których nie prowadzą. Luka jest wykorzystywalna przez każdego użytkownika zarejestrowanego jako instruktor Academy dla co najmniej jednego kursu, ponieważ mogą podać własne course_id, aby przejść kontrolę instruktora, celując w komentarze należące do zupełnie innych kursów.

Wtyczka Academy LMS dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na eskalację uprawnień. Funkcja `add_child()` nadaje rolę `academy_student` każdemu istniejącemu kontu na podstawie parametru `email` przed walidacją relacji opiekun-podopieczny, a gdy walidacja zwróci błąd, nie cofa nadania roli. Umożliwia to uwierzytelnionym atakującym z rolą `academy_guardian` lub wyższą podniesienie uprawnień dowolnego konta, w tym własnego, do roli `academy_student`, zyskując możliwość edycji postów (jak Contributor) i, przy włączonym ustawieniu przesyłania plików, przesyłania plików (jak Author).

Shiny for Python to framework do budowania interaktywnych aplikacji webowych w Pythonie. Od wersji 1.4.0 do 1.6.4 funkcja przywracania zakładek przyjmuje state_id dostarczone przez klienta i dołącza je do katalogu shiny_bookmarks po stronie serwera bez walidacji, czy jest to pojedynczy bezpieczny segment ścieżki. Nieuwierzytelnione żądanie może użyć segmentów katalogu nadrzędnego lub ścieżki absolutnej, aby zmusić serwer do otwarcia plików input.json i values.json poza magazynem zakładek, nawet gdy bookmark_store jest ustawione na disable. W aplikacjach skonfigurowanych z bookmark_store ustawionym na server i używających ui.input_file(), procedura obsługi przywracania może dodatkowo skopiować i ujawnić plik wybrany przez atakującego z katalogu wybranego przez atakującego. Problem został naprawiony w wersji 1.6.4.

Mindwtr to darmowa aplikacja do zarządzania zadaniami offline-first na komputery i urządzenia mobilne. Przed wersją 1.1.5 aplikacja mobilna zapisuje token nosiciela synchronizacji w chmurze oraz hasło WebDAV w niezaszyfrowanym AsyncStorage pod kluczami @mindwtr_cloud_token i @mindwtr_webdav_password. Osoba mająca dostęp do bazy danych aplikacji lub ujawnionej kopii zapasowej urządzenia może odzyskać te poświadczenia i użyć ich do dostępu do zsynchronizowanych zadań i załączników użytkownika. Problem został naprawiony w wersji 1.1.5.

CiviForm upraszcza aplikacje o świadczenia rządowe poprzez ponowne wykorzystanie danych wnioskodawcy w wielu aplikacjach. Przed wersją 3.33.0, GET /admin/tiDash/editClientForm/:accountId weryfikuje, że żądający jest Zaufanym Pośrednikiem, ale showEditClientForm wykonuje surowe wyszukiwanie lookupAccount(accountId) bez potwierdzenia, że konto obywatela należy do grupy trustedIntermediaryGroup żądającego. Uwierzytelniony Zaufany Pośrednik może wyliczać wartości accountId i odczytywać wyświetlaną nazwę wnioskodawcy, w tym imię i nazwisko oraz adres e-mail obywatela, dla kont spoza grupy pośrednika. Problem został naprawiony w wersji 3.33.0.

Jexactyl to konfigurowalny panel do zarządzania grami i system rozliczeniowy. Od wersji 4.0.0 do 4.0.5 endpoint POST /api/client/billing/free/process akceptuje kontrolowany przez klienta server_id i ładuje serwer bez ograniczania wyszukiwania do serwerów należących do uwierzytelnionego konta. W instalacjach z włączonym rozliczaniem uwierzytelniony użytkownik może odnowić lub wznowić rozliczany serwer innego dzierżawcy, gdy jego renewal_date jest niepuste i przypada więcej niż siedem dni w przyszłości, nawet bez relacji podużytkownika do tego serwera. Problem został naprawiony w wersji 4.0.5.

Contao to otwartoźródłowy CMS. Od wersji 5.7.0 do 5.7.12 metoda TableAccessVoter::hasAccessToModule() w pliku core-bundle/src/Security/Voter/DataContainer/TableAccessVoter.php buforuje decyzje autoryzacyjne używając tylko $tokenHash, hasha tokenu bezpieczeństwa użytkownika, i pomija tabelę zwracaną przez getDataSource(). Jeśli jedno żądanie najpierw sprawdza tabelę dozwoloną dla użytkownika, a następnie inną zabronioną tabelę, voter może ponownie użyć dozwolonego wyniku, podczas gdy DefaultDataContainerVoter może przekonwertować nieprawidłowe wstrzymanie się od głosu na zgodę. Użytkownik backendu z niskimi uprawnieniami może w konsekwencji odczytywać, tworzyć, aktualizować lub usuwać rekordy w tabelach poza przypisanymi uprawnieniami modułu, w tym tabele zawierające dane członków lub subskrybentów newslettera. Problem został naprawiony w wersji 5.7.12.

Contao to otwartoźródłowy CMS. Od wersji 5.7.1 do 5.7.12 plik core-bundle/config/services.yaml rejestruje voter dostępu podglądu jako Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, mimo że dostarczona klasa to PreviewVoter. Symfony w związku z tym pomija autokonfigurację votera i usuwa prywatną usługę, więc PreviewVoter::hasAccess() nigdy nie egzekwuje własności. Użytkownik backendu niebędący administratorem z modułem preview_link może wyświetlić wszystkie rekordy tl_preview_link, uzyskać podpisane adresy URL udostępniania utworzone przez innych użytkowników i użyć ich do wyświetlenia nieopublikowanych stron z showUnpublished, mimo braku uprawnień do strony. Doradztwo nie potwierdza edycji ani usuwania cudzych linków. Problem został naprawiony w wersji 5.7.12.

Contao, system CMS, w wersjach od 5.0.0 do 5.3.50 i 5.7.12, ma podatność w ImagesController, który łączy parametr {path} z katalogiem docelowym obrazów bez weryfikacji, czy ścieżka kanoniczna pozostaje w tym katalogu. Nieuwierzytelniony atakujący może użyć zakodowanych segmentów ścieżki nadrzędnej, aby uzyskać dostęp do plików w katalogu projektu, jeśli ich rozszerzenia są dozwolone. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.