Katalog podatności CVE

Zohocorp ManageEngine Password Manager Pro przed wersją 13235, PAM360 przed wersją 8561 oraz Access Manager Plus przed wersją 4405 są podatne na uwierzytelnioną podatność SQL Injection.

Wtyczka Marcus Login With Ajax do wersji 4.5.1 włącznie zawiera podatność Reflected Cross-Site Scripting z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka OAuth Single Sign On dla WordPressa przed wersją 7.0.1 nie weryfikuje asercji tożsamości zwracanej przez przepływ Steam single sign-on, co pozwala niezalogowanym atakującym na logowanie się jako dowolny nieadministracyjny użytkownik oraz tworzenie nowych kont.

Wtyczka Simple Ajax Chat dla WordPressa przed wersją 20260827 nie escapuje treści wiadomości czatu przed jej renderowaniem, co pozwala niezalogowanym użytkownikom na wstrzykiwanie dowolnych atrybutów HTML do strony i uruchamianie skryptów w przeglądarce każdego, kto ogląda czat, w tym administratorów.

Wtyczka FAQ Builder AYS dla WordPressa przed wersją 1.8.5 nie sanityzuje ani nie escapuje treści przesyłanych przez niezalogowanych odwiedzających przed ich zapisaniem i wyświetleniem na stronie panelu administracyjnego. Dodatkowo zastosowane escapowanie jest cofane przez kolejny krok dekodowania, co prowadzi do Stored XSS, który wykonuje się w kontekście zalogowanego administratora.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie ogranicza roli przesyłanej przez formularze front-end do ról oferowanych w formularzu, a jej zabezpieczenie przed przywilejami jest niekompletne. Pozwala to niezalogowanym użytkownikom zarejestrować konto z podwyższonymi uprawnieniami, a następnie eskalować je do administratora.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.9 nie escapuje wartości pola formularza rejestracji przed wyświetleniem jej w atrybucie HTML na stronie administracyjnej. Pozwala to niezalogowanym użytkownikom przeprowadzić ataki Stored Cross-Site Scripting przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Social Media Share Buttons & Social Sharing Icons dla WordPressa przed wersją 3.0.1 nie escapuje poprawnie wartości pochodzącej z żądania przed wyświetleniem jej w atrybucie zdarzenia JavaScript, co prowadzi do Reflected Cross-Site Scripting. Atak jest wyzwalany, gdy użytkownik wejdzie w interakcję z przyciskiem, a wtyczka działa w nie domyślnej konfiguracji wyświetlania ikon.

Wtyczka JetBackup dla WordPressa przed wersją 3.1.23.5 nie weryfikuje roli ani uprawnień konta zachowywanego podczas przywracania lub migracji przed nadaniem mu uprawnień administratora. Pozwala to użytkownikowi z poziomem subskrybenta uzyskać dostęp administratora po przywróceniu lub migracji witryny przez właściciela.

Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie zapobiega deserializacji wartości pól dostarczonych przez użytkownika, gdy przesłany post jest ponownie otwierany w formularzu edycji front-end. Pozwala to uwierzytelnionym użytkownikom z poziomem subskrybenta i wyższym na przeprowadzenie PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, jeśli na stronie znajduje się odpowiedni łańcuch gadżetów.

Wtyczka DevKit Pro dla WordPressa jest podatna na brak autoryzacji w wersjach do 2.3.0 włącznie. Wynika to z braku sprawdzenia uprawnień i braku walidacji nonce w funkcji DPDEV_install_themes_func() zarejestrowanej w akcji wp_ajax_DPDEV_install_themes. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym instalowanie dowolnych pakietów ZIP motywów zawierających pliki PHP, które są wyodrębniane do katalogu wp-content/themes/, co może umożliwić zdalne wykonanie kodu.

Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.

Westermo WeOS 5.x od wersji 5.24 umożliwia wstrzyknięcie poleceń systemu operacyjnego poprzez definicję nośnika (media definition).

Oxford Nanopore MinKNOW przed wersją 24.06 polega na adresie IP klienta do uwierzytelniania.

Baserow w wersjach 2.2.0 do 2.3.3 zawiera podatność SQL injection w funkcji formuły index(). Uwierzytelniony użytkownik z niskimi uprawnieniami, mogący tworzyć lub modyfikować pola formuł, może podać nieudokumentowany czwarty argument traktowany jako szablon SQL i wstawiany bezpośrednio do wyrażenia PostgreSQL. Zapytanie wykonuje się z uprawnieniami roli PostgreSQL Baserow, umożliwiając odczyt lub modyfikację danych poza uprawnieniami obszaru roboczego użytkownika.

Wykryto podatność w Piwigo do wersji 16.3.0. Dotyczy ona nieznanej funkcjonalności pliku i.php w komponencie Image Derivative Handler. Manipulacja prowadzi do path traversal. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.

Wtyczka WP File Download dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji delete we wszystkich wersjach. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Exploit wymaga dwóch żądań: najpierw do zadania file.save w celu zapisania ciągu path traversal w metadanych pliku, a następnie do zadania file.delete w celu wywołania funkcji unlink — oba punkty końcowe nie mają kontroli uprawnień ani nonce.

W trybie FIPS funkcja add_decoded_cert() w Libreswan wywołuje CERT_ExtractPublicKey() i zakłada, że wynik nie jest NULL. Jednak CERT_ExtractPublicKey() zwraca NULL, gdy ekstrakcja klucza publicznego nie powiedzie się, na przykład gdy wykładnik RSA jest ustawiony na 0. Zdalny atakujący może wysłać złośliwy certyfikat X.509 w ładunku CERT, aby wywołać asercję, powodując przerwanie i ponowne uruchomienie demona pluto. Ciągłe wykorzystywanie powoduje denial of service. Brak możliwości zdalnego wykonania kodu. Podatne są zarówno IKEv1, jak i IKEv2. Podatność jest wykorzystywalna tylko wtedy, gdy zarówno system operacyjny, jak i libreswan działają w trybie FIPS i załadowany jest co najmniej jeden certyfikat CA. Ładunek CERT jest przetwarzany przed uwierzytelnieniem peer, więc do wykorzystania nie są potrzebne żadne poświadczenia. Konfiguracje używające tylko uwierzytelniania PSK bez załadowanych certyfikatów CA w bazie NSS nie są podatne.

FeatherPanel przed wersją 1.3.7.10 nie waliduje uprawnień w handlerze updateSubuser w SubuserController, co pozwala uwierzytelnionym subuserom na modyfikowanie własnych rekordów uprawnień. Subuser z minimalnymi uprawnieniami może wysłać spreparowane żądanie, aby przyznać sobie pełną kontrolę nad serwerem, umożliwiając nieautoryzowany dostęp do wrażliwych danych, kopii zapasowych i konfiguracji serwera.