Katalog podatności CVE

W przeglądarce Epiphany istnieje luka umożliwiająca nadpisanie pliku podczas instalacji pakietów WebExtension z plików .xpi. Funkcja decompress_xpi_thread() używała libarchive z archive_read_support_format_all(), co pozwalało na rozpakowanie pliku TAR nazwanego *.xpi; spreparowany dowiązanie twarde może spowodować obcięcie i nadpisanie istniejącego pliku użytkownika z uprawnieniami do zapisu, bez ostrzeżenia, gdy użytkownik zainstaluje lub otworzy złośliwy plik .xpi.

Błąd logiczny w obsłudze uprawnień witryny w Epiphany może spowodować przyznanie dostępu do kamery i mikrofonu, gdy użytkownik zatwierdzi tylko inne uprawnienie. W funkcji set_permission() typy CLIPBOARD i WEBSITE_DATA_ACCESS nie są przechowywane, więc kontrola trafiała do gałęzi else-if, która zawsze ustawiała EPHY_PERMISSION_PERMIT dla ACCESS_WEBCAM i ACCESS_MICROPHONE. Złośliwa witryna, która uzyska zgodę na dostęp do schowka lub danych witryny, może następnie użyć getUserMedia bez dodatkowego monitu.

Wtyczka GeoDirectory dla WordPressa (do wersji 2.8.197) jest podatna na przechowywany cross-site scripting poprzez parametr 'post_images' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy administrator lub edytor otworzy ekran edycji oczekującej oferty. Ładunek nie wykonuje się bezpośrednio u atakującego, ale w przeglądarce ofiary, co umożliwia eskalację uprawnień.

Wtyczka Germanized for WooCommerce (do wersji 4.1.4) jest podatna na nieautoryzowany dostęp do prywatnych danych poprzez ponowne użycie tokenu aktywacyjnego. Hak on_user_email_changed, odpowiedzialny za rotację tokenu i zapis znacznika zmiany e-mail, jest rejestrowany tylko w gałęzi is_double_opt_in_login_enabled(), gdy opcja "Disable login for unactivated customers" jest ustawiona na Yes, pozostawiając oryginalny token ?activate= ważny i niepowiązany z adresem e-mail, gdy ustawienie jest na No. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może zmienić swój e-mail na e-mail rozliczeniowy ofiary i wykorzystać token aktywacyjny, aby przypisać zamówienia gościa do swojego konta i uzyskać dostęp do danych ofiary.

Wtyczka WP Directory Kit dla WordPressa (do wersji 1.6.0) jest podatna na ogólną iniekcję SQL poprzez parametr 'idfield' z powodu niewystarczającego escapowania danych wejściowych użytkownika i braku odpowiedniego przygotowania zapytania SQL. Nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka FlexStock dla WordPressa (do wersji 3.17.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'products[].post_content' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywana przez ujawnienie tokenu bearer w źródle strony Dashboardu bez sprawdzenia uprawnień oraz przez endpoint REST, który waliduje tylko token bearer, a nie uprawnienia użytkownika.

Wtyczka WooCommerce Extra Product Options Pro dla WordPressa jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr '<fieldname>_start / <fieldname>_end' we wszystkich wersjach do 3.3.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Podatność jest wykorzystywana tylko na stronach produktów, na których skonfigurowano pole Date & Time Range Picker.

Wtyczka Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder dla WordPressa jest podatna na odbite DOM-based Cross-Site Scripting poprzez parametr URL 'querystring:<key>' we wszystkich wersjach do 3.15.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia w link. Obejście zabezpieczeń następuje, gdy atakujący dostarczy pasujący parametr URL 'field:<key>', co powoduje pełne rozwiązanie placeholdera {field:*} po stronie serwera i wymusza na kliencie odtworzenie zawartości pola z surowego ciągu zapytania.

Wtyczka WP Activity Log dla WordPressa (wersje do 5.6.1) jest podatna na przechowywany cross-site scripting (Stored XSS) z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Smart Post dla WordPressa (wersje do 4.0.9) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'display_name' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Eksploatacja wymaga, aby strona ofiary zawierała blok Author Filter wraz z blokiem siatki lub live-filter, a wykonanie jest wyzwalane przez kliknięcie wpisu autora atakującego w rozwijanym menu.

Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.

W konflux-ci wykryto lukę, która pozwala na eskalację uprawnień, gdy proxy interfejsu użytkownika automatycznie wyłącza weryfikację certyfikatów TLS dla połączeń z wewnętrznymi usługami backendu w środowiskach bez domyślnego urzędu certyfikacji usług. Proxy dołącza token uwierzytelniania o zasięgu klastra z uprawnieniami do personifikacji użytkownika, więc atakujący w sąsiedniej sieci może przechwycić poświadczenia i uzyskać pełną kontrolę administracyjną nad klastrem.

W konflux-ci wykryto lukę, która pozwala atakującemu z prawem zapisu do repozytorium na wykonanie dowolnego kodu w środowisku CI/CD. Poprzez wstrzyknięcie poleceń powłoki do skryptów eksportu środowiska atakujący powoduje, że skrypty synchronizacji manifestów dynamicznie oceniają niezweryfikowane dane wyjściowe. Udana eksploatacja pozwala na przejęcie potoków CI/CD, kradzież tokenów uwierzytelniania i poświadczeń wdrożeniowych oraz nieautoryzowany dostęp do systemów produkcyjnych.

W konflux-ci wykryto lukę, która pozwala atakującemu z uprawnieniem do wyzwalania automatycznych przepływów pracy na ujawnienie informacji poprzez dostarczanie spreparowanych tytułów zgłoszeń do skryptów przepływu pracy. Skrypt włącza tytuły dostarczone przez użytkownika bezpośrednio do zapytań danych bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie złośliwych poleceń filtrujących. W rezultacie poufne informacje, takie jak poświadczenia API, klucze wdrożeniowe i notatki wewnętrzne, mogą zostać ujawnione w logach przepływu pracy.

W konflux-ci wykryto lukę, w której skrypty automatyzacji CI przechowują wrażliwe tokeny dostępu GitHub w postaci jawnej na runnerze bez ich czyszczenia po wykonaniu. Lokalny atakujący z dostępem do środowiska CI może odczytać te poświadczenia, aby uzyskać nieautoryzowany dostęp do repozytorium, potencjalnie modyfikując kod źródłowy lub artefakty wydania.

Wtyczka FeedWordPress dla WordPressa (wersje do 2026.0517) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez treść syndykowanych kanałów RSS/Atom. Funkcja SyndicatedPost::sanitize_content() usuwa jedynie atrybut 'target', a SyndicatedPost::insert_post() celowo usuwa filtry wp_filter_kses i wp_filter_post_kses przed zapisaniem importowanych elementów kanału. To pozwala nieuwierzytelnionym atakującym kontrolującym zewnętrzny kanał, do którego witryna już subskrybuje, wstrzykiwać dowolne skrypty internetowe do stron.

Wtyczka All in One SEO dla WordPressa w wersjach do 5.0.3 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 's'. Nieuwierzytelniony atakujący może wydobyć dowolne niepubliczne wartości meta wpisów, w tym wrażliwe pola niestandardowe takie jak klucze API i notatki wewnętrzne, które są emitowane dosłownie do elementu tytułu HTML oraz schematu JSON-LD SearchResultsPage.

Wtyczka Amelia (Booking for Appointments and Events Calendar) dla WordPressa w wersjach do 2.4.12 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'page'. Nieuwierzytelniony atakujący może wydobyć dane osobowe personelu (imię i nazwisko, adres e-mail, numer telefonu, płeć, strefę czasową) oraz wewnętrzne notatki administratora dla każdego opublikowanego wydarzenia, ponieważ surowa tablica providers nie jest usuwana przed wyjściem w odpowiedzi JSON.

Wtyczka Acadlix LMS dla WordPressa (wersje do 1.1.9) jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji post_delete_assessment_file_by_id. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowych plików, takich jak wp-config.php. Callback uprawnień weryfikuje jedynie ogólny nonce wp_rest publikowany w obiekcie acadlixOptions na każdej stronie frontendowej, co w praktyce obniża wymóg uwierzytelnienia do nieuwierzytelnionego.

Wtyczka Newsletters dla WordPressa w wersjach do 4.18.1 włącznie jest podatna na czasową iniekcję SQL poprzez parametr 'id' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może dołączać dodatkowe zapytania SQL do istniejących zapytań w celu wydobycia poufnych informacji z bazy danych. Atakujący może uzyskać wymagany nonce i cookie subscriberauth bez konta WordPress, subskrybując publiczny formularz newslettera i otwierając link zarządzania wysłany e-mailem; kontrola własności weryfikuje tylko pole subscriber_id i nie sprawdza, czy wstrzyknięty parametr id należy do uwierzytelnionego subskrybenta.