Katalog podatności CVE

Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie weryfikuje, czy administrator może zarządzać konkretnymi kontami użytkowników objętymi funkcją zatwierdzania logowania, sprawdzając jedynie uprawnienie na poziomie witryny. W WordPress Multisite może to pozwolić administratorowi podstrony zmieniać stan zatwierdzenia i logowania kont należących do innych witryn w sieci.

Wtyczka WordPress Essential Addons for Elementor przed wersją 6.8.7 nie waliduje ustawienia tagu HTML niektórych swoich widgetów przed użyciem go do budowy znaczników. Może to pozwolić użytkownikom z rolą author i wyższą na wstrzykiwanie elementów iframe i formularzy do opublikowanych stron.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ogranicza wzorzec używany do przepisywania tokenów dynamicznej zawartości podczas renderowania bloków, przez co wzorzec może pochłonąć cudzysłów zamykający atrybut HTML i wciągnąć sąsiednie nieescapowane dane do znaczników jako nowe atrybuty. Pozwala to nieuwierzytelnionym użytkownikom na trwały Cross-Site Scripting, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanego administratora.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.8 nieprawidłowo oczyszcza i escapuje wartości stylów bloków dostarczane przez użytkownika przed zapisaniem ich do wbudowanego arkusza stylów. Umożliwia to użytkownikom z uprawnieniami contributor i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający, w tym administratorzy, wyświetli dotknięty wpis.

W deweloperskim serwerze webowym (ADK Web) w Google Agent Development Kit (ADK) dla Javy brakuje walidacji pochodzenia żądań WebSocket oraz stosowana jest zbyt permisywna polityka CORS. Pozwala to zdalnemu atakującemu przejąć kontrolę nad lokalnie uruchomionym agentem i odczytać jego dane za pośrednictwem złośliwej strony internetowej odwiedzonej przez dewelopera. Problem naprawiono w wersji 1.13.0.

Part-DB przed wersją 2.13.3 buduje bezwzględny URL linku do resetowania hasła na podstawie nagłówka HTTP Host dostarczonego przez klienta, bez walidacji zaufanego hosta. Nieuwierzytelniony atakujący może wysłać żądanie resetu hasła dla znanego konta ze sfałszowanym nagłówkiem Host, powodując wysłanie linku z hostem kontrolowanym przez atakującego, ale z prawdziwym tokenem resetowania. Gdy ofiara otworzy link (lub zrobi to skaner poczty), token wycieka do atakującego, który może przejąć konto, w tym konto administratora.

Part-DB przed wersją 2.13.2 zawiera podatność na wstrzyknięcie formuł arkusza kalkulacyjnego w procesie importu/eksportu części. Uwierzytelniony użytkownik z uprawnieniami do importu może zaimportować plik CSV zawierający wartości z prefiksem formuły, takie jak =1+1, do kontrolowanych pól części. Gdy część zostanie wyeksportowana jako arkusz XLSX, Part-DB zapisuje wartość za pomocą setCellValue() bez neutralizacji znaków formuły, co może spowodować wykonanie formuły przez oprogramowanie arkusza kalkulacyjnego innego użytkownika.

Part-DB przed wersją 2.13.2 pozwala uwierzytelnionym użytkownikom API obejść skonfigurowany maksymalny rozmiar załącznika, przesyłając załączniki przez API z danymi pliku zakodowanymi w base64. Aplikacja egzekwuje limit rozmiaru dla zwykłych przesyłań przez przeglądarkę, ale ścieżka API base64 nie stosuje tej samej walidacji. W rezultacie użytkownik z dostępem do API i uprawnieniami do tworzenia załączników może przesłać pliki większe niż limit, potencjalnie wyczerpując miejsce na dysku i powodując odmowę usługi.

Part-DB przed wersją 2.13.2 pozwala uwierzytelnionym użytkownikom obejść skonfigurowany maksymalny rozmiar załącznika podczas korzystania z funkcji „Download external file” po stronie serwera. Gdy pobieranie załączników po stronie serwera jest włączone, Part-DB pobiera zdalny plik i strumieniuje go bezpośrednio na dysk bez egzekwowania limitu MAX_ATTACHMENT_FILE_SIZE. W rezultacie użytkownik z uprawnieniami do tworzenia lub edycji załączników może spowodować przechowywanie plików większych niż limit, potencjalnie wyczerpując miejsce na dysku i powodując odmowę usługi.

Part-DB przed wersją 2.12.3 sanityzuje pliki SVG wyłącznie na podstawie rozszerzenia nazwy pliku kontrolowanego przez użytkownika, a nie rzeczywistego typu zawartości. Uwierzytelniony atakujący może przesłać złośliwy plik SVG z ładunkiem JavaScript podając inne rozszerzenie (np. .jpg), całkowicie omijając sanityzację. Gdy dowolny użytkownik wyświetli załącznik inline, przeglądarka otrzyma Content-Type: image/svg+xml i wykona osadzony skrypt w kontekście Part-DB.

Lookyloo przed wersją 1.39.4 pozwala nieuwierzytelnionemu użytkownikowi wywołać e-mail „report a capture” na żądanie (co jest oczekiwane). Endpoint API /json/<uuid>/report (CaptureReport) niepoprawnie przekazuje parametry email i comment, nadpisując as_admin. Gdy as_admin jest True, wywoływane jest zapytanie do instancji MISP (jeśli skonfigurowana) i dodawana jest lista pasujących URLi w e-mailu wysyłanym do analityka (nie do zgłaszającego, więc nie ma ryzyka wycieku informacji). Może to potencjalnie spowodować DoS na instancji MISP.

Wtyczka Music Store – WordPress eCommerce dla WordPressa we wszystkich wersjach do 1.4.7 włącznie jest podatna na Directory Traversal poprzez parametr 'f'. Umożliwia to nieuwierzytelnionym atakującym odczyt dowolnych plików na serwerze, które mogą zawierać poufne informacje. Wykorzystanie wymaga ważnego tokenu purchase_id, który każdy użytkownik może uzyskać po jednorazowym zakupie lub otrzymaniu udostępnionego linku do pobrania.

Wtyczka Anti-Spam by CleanTalk – Spam Protection Without CAPTCHA dla WordPressa we wszystkich wersjach do 6.89.1 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'user_email' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga otwartej rejestracji użytkowników, a skrypt wykonuje się, gdy administrator uruchomi skanowanie spamu użytkowników i wyświetli zakładki Non-checkable users lub Spam users.

OpenStack Ironic przed wersją 39.0.1 pozwala na wykonywanie operacji DELETE i GET poprzez vendor_passthru, na przykład w celu usunięcia kont z usługi Redfish kontrolera BMC.

OpenStack Ironic przed wersją 39.0.1 czasami pozwala użytkownikowi zmienić ustawienie trybu konserwacji węzła poprzez PATCH do /v1/nodes/{ident}, czyli bez użycia dedykowanego endpointu konserwacji.

W Part-DB przed wersją 2.12.2 komunikaty walidacji BOM są renderowane z użyciem filtra |raw w Twig, a zawierają placeholdery wypełniane nazwami części kontrolowanymi przez użytkownika. Użytkownik mogący edytować nazwę części może zapisać znaczniki HTML, które zostaną wyrenderowane na stronie wyników walidacji BOM innego użytkownika, co prowadzi do przechowywanego wstrzyknięcia HTML.

W Part-DB przed wersją 2.12.1 plik .env w repozytorium zawiera stałą wartość APP_SECRET, której oficjalny obraz Docker jbtronics/part-db1 nie nadpisuje ani nie losuje przy starcie kontenera. Symfony używa APP_SECRET jako klucza HMAC do podpisywania ciasteczek remember-me, więc atakujący znający ten sekret może sfałszować ciasteczko remember-me dowolnego użytkownika i uzyskać w pełni uwierzytelnioną sesję bez poświadczeń.

W Part-DB przed wersją 2.12.1 mechanizm blokowania niebezpiecznych rozszerzeń przy przesyłaniu załączników nie obejmuje rozszerzenia .phar. Plik .phar przesłany jako załącznik trafia do katalogu public/media/, który jest dokument root Apache, a konfiguracja Apache kieruje .phar do PHP-FPM, co pozwala na wykonanie dowolnego kodu PHP.