Katalog podatności CVE

Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie ogranicza swojego punktu końcowego zamówień dostawców do zamówień wywołującego. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subskrybentom, odczytanie wszystkich zamówień WooCommerce w sklepie wraz z danymi osobowymi każdego klienta.

Wtyczka Meow Gallery dla WordPressa przed wersją 5.5.2 nie escapuje tekstu alternatywnego załącznika przed wypisaniem go do atrybutu linku budowanego dla galerii z linkami. Umożliwia to użytkownikom z rolą Autora lub wyższą przechowywanie ładunku JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego (w tym administratorów), który przegląda post zawierający taką galerię.

Wtyczka Templately dla WordPressa przed wersją 3.7.1 nie posiada kontroli autoryzacji w jednym z handlerów żądań, co pozwala nieuwierzytelnionym atakującym na nadpisanie zapisanego połączenia administratora z usługą chmurową kontem pod ich kontrolą, odłączając prawowitego administratora i przekierowując bibliotekę szablonów chmurowych na treści kontrolowane przez atakującego.

Wtyczka BNE Testimonials dla WordPressa przed wersją 2.0.8.2 nie odpowiednio escapuje atrybutu shortcode w kontekście JavaScript przed wstawieniem go do skryptu inline, co pozwala użytkownikom z rolą autora i wyżej na wstrzyknięcie dowolnego JavaScriptu, który wykonuje się w przeglądarce każdego, kto przegląda dotkniętą treść.

Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.

Wtyczka Comments dla WordPressa przed wersją 7.6.60 nie odpowiednio escapuje adresu URL dostarczonego przez użytkownika przed wypisaniem go wewnątrz atrybutu HTML, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie payloadu Cross-Site Scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratorów, którzy przeglądają dotkniętą treść.

Wtyczka Subscribe2 dla WordPressa przed wersją 10.46 nie odpowiednio escapuje wartości dostarczonej przez użytkownika przed odzwierciedleniem jej w publicznym formularzu subskrypcji, co prowadzi do Reflected Cross-Site Scripting, które wykonuje się w przeglądarce nieuwierzytelnionego odwiedzającego, który wchodzi w interakcję z formularzem przez spreparowany link.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybuty 'data-label' i 'data-separator' w suwaku zakresu we wszystkich wersjach do 3.5.43 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na stronach.

Wtyczka Stream dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.2.0 włącznie, ponieważ nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej dostęp do wszystkich rekordów aktywności Stream przez API Heartbeat.

Oprogramowanie uruchamiane jako nieuprzywilejowany użytkownik może wykonywać nieprawidłowe wywołania systemowe GPU, co prowadzi do dostępu poza zakresem (OOB) i wyłuskania pustego wskaźnika w jądrze w ścieżce błędu. Wyłuskanie pustego wskaźnika występuje w funkcji działającej w wątku jądra, powodując wyjątki jądra, niestabilność platformy i odmowę usługi.

Otwarcie spreparowanego pliku DICOM zawierającego złośliwe dane pikseli skompresowane w formacie JPEG wyzwala zapis poza zakresem na stercie kontrolowany przez atakującego, co może umożliwić zdalne wykonanie dowolnego kodu.

Złośliwie spreparowany plik TIF, analizowany przez niektóre produkty Autodesk podczas importu obrazu, może spowodować odczyt poza zakresem w bibliotece obsługi obrazów. Złośliwy aktor może wykorzystać tę podatność do spowodowania odmowy usługi.

PILOS (Platform for Interactive Live-Online Seminars) to frontend dla BigBlueButton. Od wersji 2.1.0 do 4.14.1 PILOS nie wysyła nagłówka odpowiedzi Cross-Origin-Opener-Policy, więc strony otwierane przez PILOS za pomocą linku otwierającego nowy kontekst przeglądania (np. target="_blank") zachowują referencję window.opener do oryginalnej karty PILOS. Złośliwa strona docelowa może użyć window.opener do nawigacji lub manipulacji oryginalną kartą PILOS, co jest techniką znaną jako reverse tabnabbing, potencjalnie przekierowując uwierzytelnionego użytkownika na stronę phishingową imitującą PILOS. Problem naprawiono w wersji 4.14.1.

h2 to czysto-pythonowa implementacja stosu protokołu HTTP/2. Wersje do 4.4.0 włącznie akceptują bloki nagłówków żądań zawierające więcej niż jeden nagłówek Host i przekazują każdy nagłówek Host do aplikacji konsumującej. Gdy konsument obniża wersję HTTP/2 do HTTP/1.1, wynikowe żądanie zawiera dwie linie nagłówka Host, co stanowi prymityw do przemycania żądań (request smuggling). Problem naprawiono w wersji 4.4.1.

node-re2 zapewnia wiązania RE2 dla Node.js. Przed wersją 1.26.1 przekazanie bufora, którego końcowe bajty tworzą skróconą (niekompletną) wielobajtową sekwencję UTF-8, mogło spowodować odczyt poza końcem przydzielonego bufora podczas próby zdekodowania ostatniego, niekompletnego punktu kodowego. Może to prowadzić do odczytu poza zakresem i potencjalnego ujawnienia sąsiednich fragmentów pamięci. Problem naprawiono w wersji 1.26.1.

jsoup to biblioteka Java do pracy z rzeczywistym HTML. Od wersji 1.14.3 do 1.23.1 parser HTML w jsoup mógł nieprawidłowo obsłużyć źle sformułowaną nazwę tagu kończącą się znakiem kontrolnym, powodując, że tag uzyskuje zachowanie parsowania innego elementu. Gdy niestandardowa lista dozwolonych (Safelist) zezwala na pewne elementy raw-text, to błędne parsowanie może spowodować, że treść, która powinna pozostać obojętnym tekstem, zostanie wyemitowana jako aktywny znacznik po serializacji, co może prowadzić do cross-site scripting. Wbudowane listy Safelist w jsoup nie są dotknięte. Problem naprawiono w wersji 1.23.1.

league/commonmark to biblioteka PHP do parsowania i renderowania CommonMark Markdown. Od wersji 1.5.0 do 2.9.0 filtr niebezpiecznych linków href i src w AttributesExtension może zostać ominięty przez osadzenie bajtów kontrolnych, takich jak tabulator, powrót karetki, znak nowej linii lub wiodący znak kontrolny C0, w adresie URL javascript:, które przeglądarki odrzucają przed parsowaniem schematu, co powoduje, że przeglądarka nadal wykonuje skrypt nawet gdy filtr niebezpiecznych linków jest włączony. Problem naprawiono w wersji 2.9.0.

Projekt AIL zawiera podatność na trwały atak XSS w kontrolkach tłumaczenia dla wiadomości czatu i postów na forum. Identyfikatory wiadomości i postów były wstawiane do atrybutów onclick JavaScript bez bezpiecznego kodowania dla literałów łańcuchowych. Specjalnie spreparowany identyfikator może wstrzyknąć dowolny kod JavaScript do procedury obsługi zdarzenia.

Framework AIL zawiera podatność na trwały atak XSS w widoku domeny crawlera. Zeskanowane adresy URL były osadzane bezpośrednio w atrybucie onclick JavaScript, bez odpowiedniego kodowania. Atakujący może wstrzyknąć złośliwy kod JavaScript do zapisanego adresu URL, który wykona się w przeglądarce analityka po kliknięciu ikony zrzutu ekranu.

Mermaid to narzędzie JavaScript, które używa tekstu inspirowanego Markdown do tworzenia i modyfikowania diagramów. Od wersji 11.6.0 do 11.16.1 diagramy radarowe Mermaid pozwalają na dowolnie duże wartości parametru ticks, co może powodować wysokie zużycie procesora i zawieszenie strony lub procesu JavaScript na długi czas, potencjalnie aż do wyczerpania pamięci. Problem został naprawiony w wersji 11.16.1.