Katalog podatności CVE

Wtyczka PickPlugins Product Designer for WooCommerce dla WordPressa do wersji 1.0.40 nie wykonuje sprawdzenia uprawnień, a jej weryfikacja nonce jest odwrócona — akceptuje żądania z nieprawidłowym lub brakującym nonce, odrzucając prawidłowe. Nie waliduje też posta, do którego zapisywane są dane, co pozwala nieuwierzytelnionym użytkownikom wstawiać dane szablonu projektu do metadanych dowolnego posta w witrynie.

W aplikacji Blood_Bank_Management_System w wersji 1.0.0 występuje podatność Cross-Site Scripting w pliku /abs.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W aplikacji Books4Cash (do commita a8d3e357db75c07ac5ffbadcbaee2aeb4db3e571) występuje podatność Cross-Site Scripting w pliku search.php, wynikająca z manipulacji argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.9 nie weryfikuje, czy użytkownik wykonujący pewne akcje zarządzania mediami AI jest właścicielem docelowego obiektu lub ma prawo go edytować. Umożliwia to użytkownikom z rolą Editor i wyżej modyfikowanie lub zmianę typu dowolnych postów w witrynie, w tym treści, których nie mają prawa edytować.

Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.11.002 nie escapuje prawidłowo wartości nawigacji kategorii przed odzwierciedleniem jej w obsłudze zdarzenia JavaScript w linkach breadcrumb galerii. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykonuje się w przeglądarce każdego, kto kliknie spreparowany link galerii i breadcrumb, w tym zalogowanego administratora.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.9 nie sprawdza, czy element przekazany do jednej z jej akcji medialnych należy do żądającego użytkownika, przed przekonwertowaniem go na załącznik i trwałym usunięciem. Umożliwia to użytkownikom z rolą Editor i wyżej usuwanie dowolnych postów każdego typu, w tym treści, których normalnie nie mogą usunąć, takich jak menu nawigacyjne, szablony bloków i style globalne.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.36.4 nie weryfikuje, czy użytkownik jest upoważniony do edycji docelowego posta przed jego aktualizacją. Umożliwia to uwierzytelnionym użytkownikom z rolą Subscriber modyfikowanie tytułu, treści i zajawki dowolnych postów, stron i niestandardowych typów treści utworzonych przez innych użytkowników.

Wtyczka Modern Events Calendar Lite dla WordPressa przed wersją 7.37.0 nie wykonuje sprawdzenia uprawnień, nonce ani własności przed zwróceniem danych rezerwacji i uczestników wydarzeń. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, ujawnienie imion, adresów e-mail, identyfikatorów transakcji i kwot płatności wszystkich rezerwacji w witrynie.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie ogranicza jednego ze swoich punktów końcowych REST API do personelu salonu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, pobranie wszystkich skonfigurowanych kuponów rabatowych, w tym ukrytych przed klientami, wraz z ich kwotami, datami ważności i limitami użycia.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie waliduje adresu URL obrazu podanego przez użytkownika przed pobraniem go po stronie serwera i zapisaniem odpowiedzi w publicznie dostępnej lokalizacji pod nazwą pliku wybraną przez atakującego. Umożliwia to użytkownikom z rolą Salon Staff i wyżej wymuszenie na serwerze odczytu zasobów wewnętrznych i ich ujawnienie oraz zapisanie złośliwego SVG, który wykonuje dowolne skrypty w domenie witryny dla każdego, kto go otworzy.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.11 nie ogranicza, które konta użytkowników mogą być edytowane przez role personelu salonu w ekranie zarządzania klientami. Umożliwia to użytkownikom z rolą Salon Staff lub Salon Worker zmianę roli dowolnego innego użytkownika, w tym administratora, na klienta oraz nadpisywanie dowolnych pól profilu na dowolnym koncie.

Wtyczka WordPress Salon Booking System w wersji przed 10.31.11 nie zapobiega przypisywaniu dowolnych uprawnień do innych kont przez użytkowników z niestandardową rolą personelu salonu podczas edycji klienta. Umożliwia to eskalację dowolnego konta do administratora i przejęcie witryny.

Wtyczka WordPress Tasty Recipes Lite w wersji przed 1.2.11 nie sprawdza poprawnie uprawnień użytkownika podczas tworzenia, zmiany nazwy i usuwania terminów taksonomii. Umożliwia to użytkownikom z rolą tak niską jak Contributor dodawanie, zmianę nazwy i trwałe usuwanie terminów w dowolnej taksonomii w witrynie, w tym kategorii, tagów i menu nawigacyjnych.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.

W aplikacji television (do wersji 0.15.9) występuje podatność Command Injection w funkcji Entry::output w pliku television/channels/entry.rs, wynikająca z manipulacji argumentem raw. Atak wymaga lokalnego dostępu.

W aplikacji Databasement (do wersji 1.8.1) występuje podatność braku autoryzacji w komponencie Scheduled Restore, w pliku app/Http/Requests/Api/V1/SaveScheduledRestoreRequest.php, wynikająca z manipulacji argumentem schema_name. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

W OpenCATS 0.10.0 wykryto podatność w funkcji processLogin w pliku modules/careers/CareersUI.php (komponent Career Portal). Manipulacja argumentem applyToJobSubAction powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia, co umożliwia zdalny atak. Złożoność ataku jest wysoka, a wykorzystanie określane jako trudne, jednak exploit został opublikowany i może być użyty.

Wykryto podatność w itsmeravitejak Online-Examination-System do wersji e6208e630b14657999bbfe4c9912302d2a1e2449. Dotyczy ona funkcji MySQLDB::topicslist w pliku exammanger.php komponentu AJAX Endpoint. Manipulacja argumentem subject prowadzi do SQL injection. Atak może być przeprowadzony zdalnie, a exploit jest już publicznie dostępny i może być użyty. Produkt działa w modelu rolling release, więc nie ma szczegółów wersji dla wydań podatnych ani zaktualizowanych. Projekt został poinformowany o problemie wcześnie poprzez zgłoszenie, ale jeszcze nie odpowiedział.

Wykryto podatność SQL injection w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy funkcji MySQLDB::valid, MySQLDB::getresults, MySQLDB::noresults, MySQLDB::getExams, MySQLDB::latestExamID oraz MySQLDB::getreport w plikach results.php i include/database.php. Manipulacja argumentami id, user lub topic prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Zidentyfikowano słabość w systemie Online-Examination-System (do wersji e6208e630b14657999bbfe4c9912302d2a1e2449). Podatność dotyczy nieznanej funkcji w plikach qsdb/usersdb/brandb/topicsdb/subjectsdb.php. Manipulacja argumentami query, qtype, sortname lub sortorder prowadzi do wstrzyknięcia SQL, a atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.