Katalog podatności CVE

Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/pricing-tiers', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.

Podatność typu Stored Cross-Site Scripting (XSS) w StockAgile API i panelu zarządzania. Podatność występuje po stronie serwera w punkcie końcowym REST '/inventory/configuration/payment-methods', który umożliwia wstrzyknięcie i utrwalenie złośliwego kodu JavaScript poprzez parametry takie jak 'code', 'name' i inne pola tekstowe. Skrypty nie są prawidłowo filtrowane ani walidowane przed wyświetleniem w panelu web, do którego mają dostęp uwierzytelnieni użytkownicy.

W funkcji Fine-Grained Admin Permissions (FGAP v2) w Keycloak występuje luka polegająca na tym, że system nie sprawdza zawartości ról złożonych przy weryfikacji uprawnień delegowanego administratora. Administrator o ograniczonych uprawnieniach może przypisać rolę, która w ukryty sposób zawiera pełną kontrolę administracyjną.

Wtyczka wpForo Forum dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole profilu 'telegram' w wersjach do 3.1.6 włącznie. Surowa tablica $_POST['data'] jest kopiowana do zmiennej $custom_fields przed uruchomieniem funkcji validate() i sanitize(), które działają tylko na równoległej referencji $user, przez co dane są zapisywane bez sanityzacji.

Wtyczka User Profile Builder dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole Avatar w wersjach do 4.0.2 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Luka jest wykorzystywana przez żądanie GET do /wp-admin/profile.php bez nonce, bez konieczności wysyłania formularza profilu.

Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'page_title' oraz Smart Tag {page_title} w wersjach do 2.0.2 włącznie z powodu niewystarczającej sanityzacji i escapowania. Luka jest wykorzystywana tylko w formularzach, których komunikat potwierdzenia umieszcza Smart Tag {page_title} w kontekście atrybutu HTML.

Wtyczka SSL Zen dla WordPress jest podatna na przejście przez katalogi (Directory Traversal) w wersjach do 4.7.42 włącznie poprzez parametr 'file_name'. Umożliwia to odczyt dowolnych plików na serwerze.

Wtyczka SSL Zen dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametry 'uri' i 'host' w wersjach do 4.7.42 włącznie. Funkcja getMessages() dekoduje base64 z danych wejściowych i wyświetla surowy HTML bez escapowania.

Wtyczka WP Maps dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr shapes_values w wersjach do 4.9.8 włącznie z powodu niewystarczającej sanityzacji i escapowania. Nonce fc-call-nonce jest ujawniany wszystkim odwiedzającym stronę z mapą, a dodatkowe sprawdzenie _wpnonce można obejść pomijając ten parametr.

Wtyczka Asset CleanUp: Page Speed Booster dla WordPress jest podatna na fałszowanie żądań po stronie serwera (SSRF) w wersjach do 1.4.0.5 włącznie poprzez parametr 'page_url'. Luka jest osiągalna tylko gdy ustawienie dom_get_type jest skonfigurowane na 'wp_remote_post'.

W Keycloak funkcja mTLS holder-of-key binding wiąże token z certyfikatem klienta, który go zażądał. Nowa funkcja Standard Token Exchange V2 nie sprawdza tego certyfikatu, co pozwala atakującemu z skradzionymi poświadczeniami klienta uzyskać standardowy, nieograniczony token.

Wtyczka GeoDirectory dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'business_hours' w wersjach do 2.8.183 włącznie z powodu niewystarczającej sanityzacji i escapowania. Handler AJAX sprawdza tylko autorstwo wpisu i nonce, bez dodatkowej weryfikacji uprawnień.

Wtyczka Better Messages dla WordPressa (wersje do 3.0.4 włącznie) jest podatna na trwały DOM-based Cross-Site Scripting poprzez nazwę wyświetlaną użytkownika. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może zapisać złośliwy skrypt, który wykona się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka Better Messages dla WordPressa (wersje do 3.0.4 włącznie) jest podatna na ogólną injekcję SQL poprzez parametr 'group_id' w metadanych wiadomości. Z powodu niewystarczającego escapowania danych wejściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie poufnych informacji z bazy danych.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.181 włącznie) jest podatna na trwały Cross-Site Scripting poprzez pole niestandardowe typu tekstowego (np. 'phone'). Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Podatność w bibliotece Ash pozwala użytkownikowi ustawić wartość prywatnego argumentu akcji na ścieżkach masowego usuwania i masowej aktualizacji. Argumenty zadeklarowane jako public?: false powinny być ustawiane tylko przez zaufany kod serwerowy, ale brak sprawdzenia public? w tych ścieżkach umożliwia ich modyfikację z danych wejściowych użytkownika.

Wtyczka Blog2Social dla WordPressa (wersje do 9.1.0 włącznie) jest podatna na obejście autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika uwierzytelniony atakujący z uprawnieniami współpracownika może przeglądać, modyfikować lub usuwać rekordy Blog2Social innych użytkowników, w tym ujawniać identyfikatory uwierzytelniające sieci społecznościowych i treści zaplanowanych postów.

Wtyczka Bookly dla WordPressa (wersje do 28.2 włącznie) jest podatna na obejście autoryzacji poprzez manipulację typami PHP. Z powodu użycia luźnego operatora nierówności w funkcji weryfikującej kod jednorazowy oraz braku ochrony CSRF i uwierzytelnienia w kontrolerze AJAX, nieuwierzytelniony atakujący może obejść weryfikację własności telefonu/e-mail i nadpisać dane dowolnego klienta Bookly.

Wtyczka Gutenverse dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut 'suffixMain' bloku komentarzy. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami współpracownika może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.