Katalog podatności CVE

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.

Wtyczka AI Engine przed wersją 3.7.2 nie przeprowadza kontroli autoryzacji na jednej z funkcji przeznaczonych tylko dla administratorów, polegając zamiast tego na tokenie wydawanym anonimowym odwiedzającym. Pozwala to nieuwierzytelnionym atakującym na uruchamianie własnych zapytań AI przeciwko skonfigurowanemu kontu dostawcy właściciela witryny.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie sprawdza, czy użytkownik żądający aktywności jest jej właścicielem w jednej z tras API REST. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt historii aktywności innych użytkowników wraz z ich adresami e-mail oraz szczegółami projektów, do których nie ma dostępu.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ogranicza kilku tras API REST do projektów, do których użytkownik należy. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt treści zadań i adresów e-mail użytkowników z innych projektów oraz modyfikację tablic zadań w innych projektach.

Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.6 nie waliduje wartości używanych do budowy zapytania do bazy danych i nie ogranicza, który plik szablonu może zostać załadowany, co pozwala nieuwierzytelnionym użytkownikom na wstrzyknięcie SQL oraz odczyt treści pytań i odpowiedzi z kursów, które nie są publicznie dostępne. Wstrzyknięty tekst trafia do zapytania jako gramatyka, a nie jako dane, a na testowanych silnikach baz danych nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści kursu, a nie całej bazy danych.

Wtyczka Booking Package dla WordPressa przed wersją 1.7.25 nie weryfikuje po stronie serwera kwoty płatności względem zapisanej ceny usługi, wyprowadzając oczekiwaną opłatę z wartości dostarczonych przez atakującego, więc nieuwierzytelniony atakujący może zapłacić dowolną ułamek rzeczywistej ceny usługi.

Wtyczka Privacy Policy Generator, Terms & Conditions, GDPR, CCPA, Cookie Policy & Disclaimer Templates przed wersją 3.7.1 nie zawiera kontroli autoryzacji na trasie REST, która zwraca zapisane dane konta. Pozwala to nieuwierzytelnionym odwiedzającym na pobranie sekretu API i szczegółów konta podłączonej usługi, które mogą być następnie użyte do rozłączenia integracji wtyczki.

Wtyczka WPCafe dla WordPressa przed wersją 3.0.18 nie przeprowadza kontroli autoryzacji podczas tworzenia rezerwacji przez swoje REST API, weryfikując tylko publicznie dostępny nonce, co pozwala nieuwierzytelnionym użytkownikom na składanie rezerwacji z dowolnym statusem zatwierdzenia i ominięcie procesu moderacji administratora.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.7 nie wymaga uwierzytelnienia przed przetworzeniem kolejki oczekujących powiadomień, co pozwala nieuwierzytelnionemu użytkownikowi na wymuszenie wysyłki oczekujących powiadomień i wywołań integracyjnych.

Wtyczka Booking for Appointments and Events Calendar przed wersją 9.8 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest właścicielem aktualizowanego konta dostawcy. Pozwala to każdemu pracownikowi z loginem do Panelu Pracownika na nadpisanie hasła kabiny innego pracownika i przejęcie jego konta.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.

Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.

Kimai przed wersją 2.53.0 zawiera podatność na otwarte przekierowanie w obsłudze sukcesu uwierzytelniania SAML, która akceptuje niezweryfikowane parametry POST RelayState jako cele przekierowania. Atakujący z dostępem do IdP mogą dostarczyć złośliwe wartości RelayState, aby przekierować uwierzytelnionych użytkowników na adresy URL kontrolowane przez atakującego w celu kradzieży poświadczeń lub ataków phishingowych.

Kimai przed wersją 2.57.0 zawiera podatność nieprawidłowej autoryzacji w punktach końcowych dodawania i usuwania ulubionych kart czasu, która pozwala uwierzytelnionym użytkownikom manipulować zakładkami innych użytkowników. Atakujący mogą dodawać lub usuwać wpisy kart czasu z listy ulubionych innego użytkownika, odwołując się do ich identyfikatora karty czasu, co umożliwia naruszenie stanu biznesowego między użytkownikami bez uprawnień administracyjnych.

Podatność w Kimai przed wersją 2.63.0 w punkcie końcowym API aktualizacji zespołu (PATCH /api/teams/{id}) powoduje usunięcie wszystkich istniejących członków zespołu przed walidacją przesłanej listy zastępczej. Uwierzytelniony lider zespołu (lub inny użytkownik z uprawnieniami do edycji zespołu) może przesłać nieprawidłowy ładunek członków; mimo że Kimai zwraca błąd walidacji, istniejące rekordy członkostwa zostały już usunięte. Obejmuje to ochronę dedykowanego punktu końcowego usuwania członków przed usuwaniem liderów zespołów i może pozostawić zespół bez członków lub liderów, zakłócając kontrolę dostępu opartą na zespołach.