Katalog podatności CVE

Zdalny atakujący z niskimi uprawnieniami może manipulować parametrem schema path w punkcie końcowym /index.php/diagnostics_tab/ajax_diag_table_rows przy użyciu ważnego cookie użytkownika, co umożliwia ujawnienie wszystkich skrótów haseł użytkowników.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 13.0 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na uniemożliwienie innemu użytkownikowi modyfikacji ustawień grupy z powodu nieprawidłowej walidacji slugów URL grupy podczas transferów przestrzeni nazw.

Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.95 nie sprawdza każdej rezerwacji w zgłoszeniu względem pojemności skonfigurowanej dla jej własnego slotu, co pozwala nieuwierzytelnionym odwiedzającym na zajmowanie slotów, które są już w pełni zarezerwowane.

Wtyczka Eventin dla WordPressa przed wersją 4.1.24 nie weryfikuje, czy zakończona płatność odpowiada zamówieniu, do którego jest zastosowana, potwierdzając jedynie, że bramka płatności raportuje transakcję jako udaną, a nie jej kwotę, walutę ani do którego zamówienia należy. Pozwala to nieuwierzytelnionym odwiedzającym oznaczyć nieopłacone zamówienia o dowolnej wartości jako opłacone poprzez powtórzenie transakcji z jednej prawdziwej płatności o niskiej wartości.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 13.9 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami roli dewelopera na podmianę zawartości plików pakietów i ukrywanie pakietów przed ich właścicielami z powodu nieprawidłowej kontroli autoryzacji w Generic Package Registry.

Wtyczka Formidable Forms dla WordPressa przed wersją 6.35 nie zapobiega przedostawaniu się wartości pochodzących z żądania do parsera shortcode'ów WordPressa, gdy podstawia obsługiwany token do niestandardowego HTML formularza. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych shortcode'ów z atrybutami wybranymi przez atakującego po stronie serwera na każdej stronie wyświetlającej dotknięty formularz.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 19.0 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego JavaScriptu w kontekście sesji docelowego użytkownika z powodu nieprawidłowego oczyszczania wklejonej zawartości HTML w edytorze treści.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 18.11 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi z rolą Security Manager na wykonanie dowolnych zadań CI/CD i dostęp do chronionych zmiennych w projektach grupowych z powodu nieprawidłowej kontroli autoryzacji w zarządzaniu frameworkami zgodności.

Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 13.0 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić użytkownikowi z rolą developer na wykonanie działań w kontekście commitów merge request innego użytkownika z powodu problemu wyścigu w tworzeniu pipeline'ów.

W Keycloak znaleziono błąd w pierwszym przepływie logowania brokera. Gdy użytkownik potwierdza żądanie połączenia konta z innej przeglądarki, tworzony jest tymczasowy dowód w celu weryfikacji połączenia. Jednak ten dowód nie jest prawidłowo usuwany po ustanowieniu połączenia lub gdy użytkownik później ręcznie usunie połączenie. Atakujący kontrolujący zewnętrzną tożsamość może wykorzystać ten pozostawiony dowód, aby po cichu ponownie ustanowić połączenie i uzyskać nieautoryzowany dostęp do konta ofiary bez dalszego potwierdzenia.

Wtyczka WordPress kboard w wersji przed 6.7 nie weryfikuje własności ani kontekstu przed usunięciem mediów tablicy. Umożliwia to nieuwierzytelnionym atakującym trwałe usunięcie przesłanych plików multimedialnych oraz powiązanych rekordów bazy danych poprzez iterowanie identyfikatorów.

Wtyczka WordPress WPBot w wersji przed 8.7.6 nie wykonuje sprawdzenia uprawnień w akcji AJAX zapisującej ustawienia dostawcy Claude AI. Umożliwia to użytkownikom z poziomem dostępu subskrybenta nadpisanie tych ustawień, w tym klucza API używanego do wychodzących żądań AI.

Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpointach zwracających rekordy usług i kategorii rezerwacji. Umożliwia to nieuwierzytelnionym atakującym odczyt prywatnych notatek wewnętrznych przechowywanych przy każdej usłudze i kategorii.

Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpoincie zwracającym rekordy agentów rezerwacji (personelu). Umożliwia to nieuwierzytelnionym atakującym odczyt adresów e-mail, numerów telefonów, prywatnych notatek wewnętrznych oraz powiązanej nazwy konta WordPress dla każdego agenta.

Wtyczka WordPress Subscriptions for WooCommerce w wersji przed 2.0.3 nie weryfikuje tokenu bezpieczeństwa w żądaniu anulowania subskrypcji. Atakujący może nakłonić zalogowanego klienta do wykonania spreparowanego żądania, które anuluje jego własną aktywną subskrypcję.

Wtyczka WordPress Subscriptions for WooCommerce w wersji przed 2.0.3 nieprawidłowo weryfikuje wspólny sekret chroniący jeden z jej endpointów REST. Nieuwierzytelnieni użytkownicy mogą pobrać pełną listę subskrypcji sklepu, w tym nazwy użytkowników, nazwy produktów, kwoty cykliczne i daty płatności.

Wtyczka WordPress Seraphinite Accelerator w wersji przed 2.29.24 nie sprawdza uprawnień w jednej z akcji AJAX aktualizujących stan. Uwierzytelnieni użytkownicy, np. subskrybenci, mogą zapisać nieprawidłową wartość powodującą nieobsłużony błąd przy każdym kolejnym ładowaniu strony administracyjnej, co czyni cały panel administracyjny niedostępnym dla wszystkich administratorów (odmowa usługi).

Wtyczka WordPress Newsletter w wersji przed 9.3.7 nie weryfikuje celu przekierowania po publicznej akcji subskrypcji. Nieuwierzytelnieni atakujący mogą przekierowywać użytkowników na dowolne zewnętrzne strony oraz ujawnić token subskrybenta, który daje dostęp do akcji front-endowych tego rekordu subskrybenta.

Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.