Katalog podatności CVE

Wtyczka Prime Slider dla Elementora do wersji 4.1.10 zawiera podatność na Stored XSS przez ustawienie 'follow_us_text' w widżecie Mount. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala atakującym z dostępem autora lub wyższym na wstrzykiwanie dowolnych skryptów.

Wtyczka LearnPress – WordPress LMS Plugin jest podatna na trwałe XSS przez atrybut 'skin' shortcodu learn_press_courses w wersjach do 4.3.3 włącznie. Niedostateczne oczyszczanie i escapowanie atrybutu 'skin' pozwala uwierzytelnionym atakującym (od poziomu współautora) na wstrzyknięcie dowolnych skryptów.

Brak autoryzacji w pluginie MainWP Child Reports dla WordPressa (do wersji 2.2.6). Uwierzytelnieni atakujący z dostępem Subscriber mogą uzyskać wpisy dziennika aktywności (w tym podsumowania działań, dane użytkownika, adresy IP) poprzez Heartbeat API.

Wtyczka LTL Freight Quotes – R+L Carriers Edition dla WordPress do wersji 3.3.13 włącznie ma brak autoryzacji w handlerze webhook. Nieuwierzytelnieni atakujący mogą modyfikować ustawienia subskrypcji, zmieniając plan płatny na Trial, typ sklepu i daty wygaśnięcia subskrypcji.

Wtyczka Investi dla WordPress do wersji 1.0.26 zawiera podatność na przechowywany XSS przez atrybut 'maximum-num-years' shortcode'a 'investi-announcements-accordion'. Atrybut nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionym atakującym z dostępem współautora na wstrzykiwanie dowolnych skryptów.

Wtyczka TableOn dla WordPressa do wersji 1.0.4.4 zawiera podatność na trwały XSS przez atrybuty shortcode 'class', 'help_link', 'popup_title' i 'help_title'. Atrybuty te nie są odpowiednio oczyszczane ani kodowane przed wstawieniem do HTML-a, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym na wstrzyknięcie dowolnego skryptu.

Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka LightPress Lightbox dla WordPress do wersji 2.3.4 zawiera podatność na trwałe XSS przez atrybut `group` w shortcode `[gallery]`. Brak odpowiedniego escapingu umożliwia uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy przeglądaniu strony.

Wtyczka Blubrry PowerPress dla WordPress w wersjach do 11.15.15 zawiera podatność na trwałe XSS poprzez shortcode 'powerpress' i 'podcast' z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Najnowsza wersja parisneo/lollms zawiera podatność na niewystarczające wygaśnięcie sesji. Aplikacja nie unieważnia aktywnych sesji po zmianie hasła, co pozwala atakującemu na kontynuowanie korzystania ze starego tokena sesji. Problem wynika z braku logiki odrzucania żądań po okresie bezczynności oraz z domyślnego czasu trwania sesji wynoszącego 31 dni. Umożliwia to atakującemu utrzymanie trwałego dostępu do skompromitowanego konta nawet po zmianie hasła przez ofiarę.

W języku Go kontekst nie był prawidłowo śledzony w gałęziach szablonów dla literałów szablonów JS, co prowadziło do nieprawidłowego kodowania treści. Ponadto akcje szablonów w literałach szablonów JS nie śledziły głębokości nawiasów klamrowych, co skutkowało nieprawidłowym kodowaniem. Te problemy mogą powodować podatności XSS.

Funkcja tar.Reader w języku Go może przydzielić nieograniczoną ilość pamięci podczas odczytu złośliwie spreparowanego archiwum zawierającego dużą liczbę rzadkich regionów zakodowanych w starym formacie 'old GNU sparse map'.

W systemie Linux, jeśli cel funkcji Root.Chmod zostanie zastąpiony dowiązaniem symbolicznym podczas trwania operacji chmod, Chmod może działać na celu dowiązania, nawet jeśli znajduje się on poza korzeniem. Wywołanie systemowe fchmodatat ignoruje flagę AT_SYMLINK_NOFOLLOW, której Root.Chmod używa do unikania podążania za dowiązaniami. Root.Chmod sprawdza cel przed działaniem i zwraca błąd, jeśli cel jest dowiązaniem poza korzeniem, więc wpływ jest ograniczony do przypadków, gdy cel zostanie zastąpiony dowiązaniem między sprawdzeniem a operacją.

Wtyczka Elementor Website Builder dla WordPressa do wersji 3.35.5 zawiera podatność na Stored XSS przez kilka parametrów widżetów. Niewystarczające oczyszczanie danych wejściowych i wyjściowych pozwala atakującym z dostępem contributora lub wyższym na wstrzykiwanie dowolnych skryptów.

Wtyczka Gravity Forms dla WordPress w wersjach do 2.9.30 włącznie jest podatna na Reflected XSS przez parametr `form_ids` w akcji AJAX `gform_get_config`. Wynika to z metody `GFCommon::send_json()`, która wypisuje dane JSON w komentarzach HTML z nagłówkiem `Content-Type: text/html` zamiast `application/json`. Funkcja `wp_json_encode()` nie koduje znaków < i > w wartościach JSON, co pozwala na wstrzyknięcie znaczników HTML/script. Nonce `config_nonce` jest generowany z `wp_create_nonce('gform_config_ajax')` i jest publicznie osadzony na każdej stronie z formularzem Gravity Forms, co czyni go identycznym dla wszystkich nieuwierzytelnionych odwiedzających w ciągu 12-godzinnego ticka nonce. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Podatność nie działa przeciwko uwierzytelnionym użytkownikom.

Wtyczka Download Monitor dla WordPressa do wersji 5.1.10 włącznie jest podatna na Cross-Site Request Forgery (CSRF) w funkcjach actions_handler() i bulk_actions_handler(). Brak weryfikacji nonce umożliwia nieuwierzytelnionemu atakującemu usunięcie, wyłączenie lub włączenie zatwierdzonych ścieżek pobierania poprzez sfałszowane żądanie, pod warunkiem nakłonienia administratora do kliknięcia w link.

Wtyczka Gravity Forms dla WordPress do wersji 2.9.30 włącznie ma podatność na Stored XSS w polu karty kredytowej (podpole 'Card Type'). Metoda get_value_entry_detail() wyświetla wartość bez eskejpowania, a get_value_save_entry() akceptuje niesanitowane dane wejściowe. Pole Card Type nie jest renderowane na froncie, ale backend akceptuje je z żądania POST. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonują się podczas przeglądania wpisu w panelu administratora.

Wtyczka Hustle dla WordPress do wersji 7.8.10.2 ma podatność na nieautoryzowaną modyfikację danych przez brak sprawdzenia uprawnień w akcji AJAX 'hustle_module_converted'. Nieuwierzytelnieni atakujący mogą fałszować zdarzenia konwersji dla dowolnego modułu Hustle, w tym modułów w wersji roboczej.

Rozszerzenie Score w MediaWiki (The Wikimedia Foundation) jest podatne na Cross-Site Scripting (XSS) z powodu nieprawidłowego neutralizowania danych wejściowych. Problem został naprawiony w gałęzi master oraz w wersjach 1.43, 1.44 i 1.45.

Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej (cross-site scripting) w rozszerzeniu CampaignEvents MediaWiki Fundacji Wikimedia umożliwia ataki Cross-Site Scripting (XSS). Problem został naprawiony tylko w gałęzi `master`.