Katalog podatności CVE

Wtyczka MetForm dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 4.1.8 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony. Payload omija filtr wp_kses_post, ponieważ nie zawiera tagów HTML, a transformacja str_replace w MetForm zapewnia dodatkową ścieżkę dostarczenia.

W systemie itsourcecode Sales and Inventory System 1.0 znaleziono podatność na SQL injection w pliku /pages/cust_del.php, gdzie argument ID jest manipulowany. Atak może być wykonany zdalnie, a exploit został opublikowany.

Wtyczka WP Project Manager Pro dla WordPressa jest podatna na SQL Injection w wersjach do 4.0.1 włącznie, z powodu niewystarczającego escapingu parametru i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą dodawać dodatkowe zapytania SQL, aby wyodrębnić wrażliwe informacje z bazy danych.

Sterownik systemu plików ext2 w Zephyr nie sprawdza pola s_log_block_size w superbloku podczas montowania obrazu. Atakujący może dostarczyć spreparowany obraz ext2, który powoduje przepełnienie przesunięcia bitowego lub zbyt duży rozmiar bloku, co prowadzi do zapisu poza pamięcią statyczną w trybie jądra.

Wtyczka tagDiv Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_raw_html we wszystkich wersjach do 5.4.5 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia w metodzie vc_raw_html::render(), która dekoduje zawartość shortcode z base64 (po strip_tags(), które jest omijane, ponieważ zakodowany payload nie zawiera tagów przy zapisie) i łączy wynik bezpośrednio z HTML strony. Ponieważ filtr wp_kses_post() przy zapisie widzi tylko obojętny tekst base64 w normalnych nawiasach shortcode i nie dekoduje go, niebezpieczne tagi przetrwają w post_content i są emitowane bez escapowania w czasie renderowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę (np. gdy Edytor lub Administrator podgląda oczekujący wpis).

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'wfp_featured_video_url' we wszystkich wersjach do 1.8.1 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Endpoint REST używany do przesłania adresu URL wideo ma permission_callback ustawione na __return_true, co oznacza, że każdy uwierzytelniony użytkownik — w tym z dostępem na poziomie Subscriber — może dotrzeć do podatnej ścieżki kodu.

Wtyczka FundEngine – Donation and Crowdfunding Platform dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.8.1 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej modyfikację dowolnych wpisów i stron — nadpisywanie tytułu i treści oraz przejmowanie własności poprzez podanie kontrolowanego przez atakującego integera post_author, który omija sanityzację wp_kses_post. Nonce wp_rest wymagany przez handler jest łatwy do zdobycia przez każdego zalogowanego użytkownika przez /wp-admin/admin-ajax.php?action=rest-nonce, więc nie stanowi bariery autoryzacyjnej.

Wtyczka Gutenverse – WordPress Blocks, Page Builder & Site Editor dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'titleTag' we wszystkich wersjach do 4.0.2 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Złośliwa wartość titleTag przetrwa wp_kses_post przy zapisie, ponieważ jest przechowywana wewnątrz ogranicznika komentarza bloku, a żywy HTML jest syntetyzowany dopiero w czasie renderowania przez do_blocks(), co oznacza, że payload działa również w sesjach administratora i edytora podczas podglądu wpisu.

Wtyczka Events Manager dla WordPressa jest podatna na odbite ataki typu Cross-Site Scripting (XSS) poprzez parametr 'header_format' w wersjach do 7.4.0.1 włącznie. Atakujący bez uwierzytelnienia może wstrzyknąć dowolny skrypt, który wykona się po kliknięciu przez ofiarę w specjalnie przygotowany link.

Wtyczka Events Manager dla WordPressa jest podatna na lokalne dołączanie plików (LFI) w wersjach do 7.3.7.4 włącznie, poprzez funkcję em_options_save. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia obejście kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.

Wtyczka LearnPress dla WordPressa jest podatna na nieautoryzowaną modyfikację dowolnych opcji WordPressa w wersjach do 4.4.4 włącznie, poprzez akcję AJAX learnpress_create_page. Atakujący z uprawnieniami redaktora może zaktualizować dowolne opcje, takie jak users_can_register czy active_plugins, co może prowadzić do otwarcia publicznej rejestracji lub uszkodzenia strony.

Wtyczka Cozy Blocks dla WordPressa jest podatna na trwałe ataki typu Cross-Site Scripting (XSS) poprzez atrybut cozyHoverEffect w wersjach do 2.2.16 włącznie. Uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie.

Wtyczka Events Manager dla WordPressa jest podatna na obejście autoryzacji w wersjach do 7.4.0 włącznie. Niezalogowani atakujący mogą przeglądać tytuły, daty, opisy i lokalizacje wydarzeń oraz miejsc, które administratorzy oznaczyli jako szkice, oczekujące, usunięte lub prywatne.

Wtyczka PPWP – Password Protect WordPress jest podatna na trwałe ataki typu Cross-Site Scripting (XSS) poprzez shortcode 'ppwp' w wersjach do 1.9.21 włącznie. Uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie.

GitPython przed wersją 3.1.59 zawiera podatność na odczyt dowolnych plików w metodzie TagReference.create(), gdzie parametr referencji może ominąć zabezpieczenie unsafe. Atakujący może podać wartość referencji taką jak --file=<ścieżka>, aby odczytać dowolne pliki, a ich zawartość jest zwracana w wiadomości tagu.

GitPython przed wersją 3.1.59 zawiera niekompletną listę zabronionych opcji w zabezpieczeniu unsafe_git_revision_options, która pomija opcje --contents i -S. Atakujący może przekazać wartości rewizji takie jak --contents=/etc/passwd, aby odczytać zawartość dowolnych plików poprzez wynik funkcji Repo.blame().

Grav przed wersją 2.0.16 umożliwia sandboxowanym szablonom Twig dostęp do wrażliwych pól użytkownika poprzez dozwolone metody offsetGet() i offsetexists(), które nie filtrują pól. Atakujący z uprawnieniami do edycji stron może wywołać offsetGet() na obiektach User, aby wyodrębnić zahaszowane hasła i sekrety 2FA, co umożliwia ataki brute-force i obejście uwierzytelniania.

Rocket.Chat udostępnia metodę Meteor sendForgotPasswordEmail bez limitu szybkości DDP, co pozwala nieuwierzytelnionemu atakującemu na wielokrotne wywoływanie jej. Metoda jest dostępna przez DDP oraz przez HTTP POST /api/v1/method.callAnon/sendForgotPasswordEmail i wyzwala wysyłkę wiadomości resetujących hasło dla dowolnego adresu powiązanego z kontem. Brak reguły DDPRateLimiter umożliwia masowe wysyłanie e-maili oraz sondowanie adresów.

Grav CMS przed wersją 2.0.16 zawiera podatność na obejście walidacji pochodzenia w metodach Uri::referrer() i Pages::referrerRoute(), które sprawdzają nagłówek Referer za pomocą niezakotwiczonego dopasowania prefiksu (str_starts_with) bez ogranicznika końcowego. Atakujący kontrolujący domenę zaczynającą się od pochodzenia ofiary (np. https://example.com.attacker.tld) może wysłać żądanie z takim Refererem, które będzie traktowane jako pochodzące z tego samego pochodzenia, omijając kontrolę opartą na Refererze.

Wtyczka Grav Login (getgrav/grav-plugin-login) przed wersją 3.9.1 jest podatna na enumerację adresów e-mail. Metoda register() w classes/Login.php wyrzuca odrębny wyjątek (EMAIL_NOT_AVAILABLE), gdy podany adres e-mail już należy do istniejącego konta, podczas gdy w przeciwnym razie rejestracja przebiega dalej. Ponieważ punkt końcowy rejestracji nie ma ograniczeń tempa, atakujący może enumerować, które adresy e-mail mają konta na stronie, zgadując jedno żądanie na raz.