Katalog podatności CVE

Formwork przed wersją 2.3.11 zawiera podatność na Stored Cross-Site Scripting w śledzeniu odwiedzin, która zapisuje nagłówek Referer bez escapowania. Nieuwierzytelnieni atakujący mogą spreparować złośliwe nagłówki Referer, aby wstrzyknąć kod, który wykona się w przeglądarce administratora podczas przeglądania panelu statystyk.

Cockpit CMS przed wersją 2.14.1 zawiera podatność na enumerację kont w endpointcie sprawdzania uwierzytelnienia z powodu różnic czasowych w weryfikacji hasła. Atakujący mogą mierzyć czasy odpowiedzi w wielu żądaniach, aby określić, które konta istnieją, obserwując, że istniejące konta wyzwalają weryfikację bcrypt, podczas gdy nieistniejące konta zwracają odpowiedź natychmiast.

Wykryto podatność w systemie macrozheng mall do wersji 1.0.3. Dotyczy nieznanej funkcji w pliku /order/submit komponentu Order Submission. Manipulacja prowadzi do wyścigu (race condition). Atak może być przeprowadzony zdalnie, ale jest uważany za trudny do wykorzystania. Producent usunął zgłoszenie GitHub bez wyjaśnienia.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.11 nie przeprowadza sprawdzenia uprawnień w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na usuwanie dowolnych planów członkostwa.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.43 nie weryfikuje parametru przekierowania podawanego podczas rejestracji użytkownika przed jego użyciem, co pozwala nieuwierzytelnionym atakującym na przekierowywanie użytkowników na dowolne zewnętrzne adresy URL.

Wtyczka MasterStudy LMS dla WordPressa przed wersją 3.7.40 nie weryfikuje kwoty, odbiorcy, waluty ani statusu powiadomienia o płatności przed oznaczeniem odpowiedniego zamówienia jako ukończonego, co pozwala nieuwierzytelnionym użytkownikom na ukończenie zamówień o pełnej cenie i uzyskanie dostępu do płatnych treści, płacąc jedynie symboliczną kwotę.

Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.5 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta przed jej anulowaniem, co pozwala użytkownikowi z potwierdzoną sesją portalu na anulowanie subskrypcji należących do innych klientów. Wykorzystanie wymaga znajomości identyfikatora subskrypcji, który jest wysokoentropijny i nie można go wyliczyć.

Wtyczka Rank Math SEO dla WordPressa przed wersją 1.0.277 nie sprawdza, czy użytkownik żądający automatycznej poprawki SEO posiada uprawnienia wymagane przez WordPressa do zmienianych ustawień, co pozwala użytkownikom z rolą Edytora na modyfikowanie ogólnych ustawień WordPressa zarezerwowanych dla administratorów.

Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza kontroli autoryzacji na swoich trasach REST API i nie egzekwuje konsekwentnie kodu dostępu do klasy. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie podpisanego linku do dołączenia do spotkania dla dowolnej klasy, w tym chronionej kodem dostępu, oraz dołączenie z uprawnieniami moderatora.

Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie ma żadnej kontroli autoryzacji ani uwierzytelniania podczas zapisywania swoich ustawień. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie ustawień i przekierowanie wszystkich klas online oraz wspólnego sekretu używanego do podpisywania sesji na infrastrukturę wybraną przez atakującego.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie weryfikuje typu danych podczas deserializacji podczas importowania pliku konfiguracyjnego, umożliwiając użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataku PHP Object Injection. Dotknięta funkcja jest darmowym dodatkiem domyślnie wyłączonym, a w samej wtyczce nie ma łańcucha POP, więc dalszy wpływ wymaga odpowiedniego gadżetu z innej zainstalowanej wtyczki.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie escapuje danych wyjściowych jednego ze swoich opcjonalnych shortcode'ów, umożliwiając użytkownikom z rolą co najmniej contributora przeprowadzenie ataku Stored Cross-Site Scripting na każdego użytkownika przeglądającego dotkniętą treść, w tym administratorów. Shortcode nie jest domyślnie włączony.

Wtyczka WordPress Catfolders Document Gallery Pro przed wersją 2.0.7 nie autoryzuje niektórych swoich tras REST API, a token identyfikujący żądaną treść jest podrabialny po stronie klienta. Umożliwia to nieuwierzytelnionym użytkownikom listowanie i pobieranie zawartości folderów, które nigdy nie zostały opublikowane na stronie.

Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.

Graylog w wersjach od 6.2.0 do 6.3.12, 7.0.7 i 7.1.2 ma podatność w endpointcie DELETE /users/{userId}/tokens/{idOrToken}, gdzie sprawdzane są uprawnienia USERS_TOKENREMOVE dla parametru userId kontrolowanego przez atakującego, zanim zostanie rozwiązany token wybrany przez idOrToken. Uwierzytelniony użytkownik może podać autoryzowany userId, podczas gdy loadById() lub load() rozwiązuje token należący do innego użytkownika, w tym konta usługowego lub administratora, po czym destroy() usuwa ten token bez sprawdzenia AccessToken.getUserName(). Problem nie ujawnia zawartości tokena, ale nieautoryzowane usunięcie ma wpływ na integralność i może zakłócić integracje oparte na tokenach.

MariaDB Connector/R2DBC przed wersją 1.4.1 nie blokuje pluginów uwierzytelniania hasłem w postaci jawnego tekstu, gdy połączenie nie jest szyfrowane. Wrogi lub man-in-the-middle serwer MariaDB może wysłać AuthSwitchRequest z nazwą mysql_clear_password lub dialog (PAM) przez niezabezpieczone połączenie TCP, a AuthenticationFlow pozwala ClearPasswordPluginFlow lub PamPluginFlow na wysłanie hasła użytkownika jako jawnego tekstu. Ujawnione poświadczenia mogą być następnie użyte do bezpośredniego uwierzytelnienia do serwera bazy danych.