Katalog podatności CVE

Wtyczka YaySMTP dla WordPressa (wersje do 2.7.7 włącznie) jest podatna na dowolne przesyłanie plików przez funkcję putFile. Brak walidacji typu pliku pozwala uwierzytelnionemu użytkownikowi z rolą subskrybenta przesłać plik wykonywalny, co prowadzi do zdalnego wykonania kodu (RCE). Zabezpieczenie .htaccess jest ignorowane przez nginx i Apache z AllowOverride None.

Wtyczka Coinsnap Bitcoin Crowdfunding dla WordPressa do wersji 1.2.0 nie ogranicza dostępu do sekretu używanego do uwierzytelniania webhooka bramki płatności, ujawniając go nieuwierzytelnionym użytkownikom i czyniąc weryfikację podpisu webhooka nieskuteczną. Umożliwia to nieuwierzytelnionym atakującym fałszowanie powiadomień o potwierdzeniu płatności i rejestrowanie dowolnych darowizn jako zakończonych, z wybranymi przez atakującego kwotami, nazwiskami darczyńców i wiadomościami.

Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.3.02.002 włącznie) jest podatna na wstrzyknięcie poleceń przez parametr 'value' w akcji AJAX 'update-photo'. Brak escapowania powłoki w funkcji wppa_image_magick_a() pozwala uwierzytelnionemu użytkownikowi z uprawnieniem wppa_upload na wykonanie dowolnych poleceń systemowych jako użytkownik serwera WWW. Wymagane jest włączone ImageMagick.

Wtyczka WX Subscribe 微信支付付费订阅 dla WordPressa do wersji 1.2.1 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków SQL injection w instalacjach, w których klucz płatności nie został skonfigurowany.

Wtyczka WordPress Subscribe to Comments w wersji przed 2.3.3 nie podpisuje ani nie weryfikuje pliku cookie, któremu ufa przy identyfikacji komentującego. Umożliwia to nieuwierzytelnionemu atakującemu ujawnienie klucza zarządzania subskrybenta i ciche zmienianie jego subskrypcji.

Wtyczka WordPress Document Gallery w wersji do 5.1.1 włącznie nie wykonuje żadnego sprawdzenia uprawnień ani własności podczas generowania galerii na żądanie. Umożliwia to nieuwierzytelnionym użytkownikom wyliczenie i ujawnienie tytułów, opisów oraz bezpośrednich adresów URL plików multimedialnych dołączonych do nieopublikowanych, prywatnych lub usuniętych treści.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 oraz 11.7.x <= 11.7.10 nie ogranicza liczby i rozmiaru kluczy wzmianek przechowywanych w właściwościach powiadomień użytkownika ani nie ogranicza kwadratowego dopasowywania wielobajtowych słów kluczowych dla każdego posta. Uwierzytelniony użytkownik może pogorszyć opóźnienie przetwarzania postów i zużyć nadmierne zasoby CPU w imieniu innych członków kanału poprzez zapisanie zbyt dużej listy notify_props.mention_keys na własnym profilu.

Wtyczka Wp Map Block dla WordPressa w wersjach do 3.0.0 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach set_status() i bulk() w kontrolerze REST Maps_Controller. Uwierzytelniony atakujący z uprawnieniami współautora lub wyższymi może publikować, odpublikować lub masowo usuwać dowolne posty wpmb_map, w tym mapy należące do administratorów.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie sanityzuje pola aktywnego kanału zwracanego przez punkty końcowe API statusu użytkownika. Uwierzytelniony użytkownik może poznać identyfikator kanału prywatnego, który inny użytkownik aktywnie przegląda, nie będąc członkiem tego kanału.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie unieważnia zapisanego hasła bind AD/LDAP, gdy inne ustawienia połączenia (takie jak adres serwera) zostaną zmienione. Administrator System Console może ujawnić hasło bind w postaci jawnej do serwera kontrolowanego przez atakującego za pomocą funkcji Test Connection / diagnostyki.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie wymaga ponownego wprowadzenia zapisanego klucza klienta (client secret) podczas walidacji wychodzącego połączenia OAuth. Uwierzytelniony użytkownik z uprawnieniami do zarządzania wychodzącymi połączeniami OAuth może uzyskać klucz klienta, kierując adres URL tokenu na punkt końcowy kontrolowany przez atakującego i wyzwalając walidację.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie wymusza sprawdzenia DM/GM po stronie serwera. Uwierzytelniony użytkownik może poddać kwarantannie post należący do wiadomości bezpośredniej (DM) lub grupowej (GM) poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie waliduje kombinacji ról gościa i administratora. Uwierzytelniony atakujący może eskalująć konto gościa do administratora zespołu lub kanału poprzez spreparowane żądanie PUT do punktu końcowego API ról członków.

Wtyczka User Registration & Membership dla WordPressa (wersje do 5.2.8 włącznie) jest podatna na wykonanie dowolnych shortcode'ów, ponieważ nie waliduje wartości przed uruchomieniem do_shortcode. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wykonać dowolne shortcode'y.

Wtyczka WP Booking System – Booking Calendar dla WordPressa (wersje do 2.1.0.1 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'data[orderby]' z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dodatkowe zapytania SQL i wyciągnąć poufne informacje z bazy danych; eksploatacja wymaga kalendarza z ponad 200 rezerwacjami.

Wtyczka GeoDirectory – WP Business Directory Plugin dla WordPressa (wersje do 2.8.192 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'twitterusername' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka CP Multi View Events Calendar dla WordPressa (wersje do 1.4.42 włącznie) jest podatna na przechowywany XSS przez parametr 'CalendarTitle'. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Wymaga włączonej opcji edycji w frontendzie.

Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa (wersje do 7.2.8 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'note' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.

Wtyczka Site Reviews (wersje do 8.3.4 włącznie) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieuprawnionym użytkownikom wykonanie akcji zastrzeżonych dla wyższych uprawnień.

Wtyczka WebberZone Top 10 – Popular Posts dla WordPressa (wersje do 4.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'other_attributes' (przetwarzany do wstrzyknięcia instance_id) oraz niezadeklarowany 'is_widget' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami współtwórcy może wstrzyknąć skrypty, które wykonają się po odwiedzeniu zainfekowanej strony.