Katalog podatności CVE

Wtyczka WP Photo Album Plus do wersji 9.2.03.001 jest podatna na trwałe Cross-Site Scripting (XSS) przez błąd podwójnego kodowania w mechanizmie komentarzy do zdjęć. Atakujący może przesłać podwójnie zakodowany HTML (np. <img src=... onload=...>), który przechodzi przez filtry i jest przechowywany jako encje, a następnie wykonuje się w przeglądarce ofiary.

Wtyczka Ultimate Addons for WPBakery Page Builder dla WordPress przed wersją 3.21.5 zawiera podatność we współdzielonej funkcji renderowania linków Ultimate_VC_Addons::uavc_link_init(). Opis nie podaje dalszych szczegółów.

Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie sprawdza uprawnień ani nonce w jednej z akcji AJAX związanych z płatnościami. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może ujawnić szczegóły płatności dowolnego członka poprzez enumerację identyfikatora płatności.

Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.

Wtyczka Events Made Easy dla WordPressa przed wersją 3.1.4 nie weryfikuje, czy żądający jest upoważniony do modyfikacji docelowego rekordu podczas obsługi nieuwierzytelnionego żądania zmiany danych. Polega wyłącznie na publicznym nonce bez tokena na rekord lub sprawdzenia własności, co pozwala nieuwierzytelnionym atakującym nadpisać dane osobowe dowolnego rekordu osoby.

Wtyczka Mailgun dla WordPressa przed wersją 2.2.1 nie wykonuje żadnego sprawdzenia uprawnień ani nonce na nieuwierzytelnionej akcji AJAX, która dodaje subskrybentów do list mailingowych skonfigurowanych przez właściciela strony. Umożliwia to nieuwierzytelnionym atakującym zapisywanie dowolnych adresów e-mail na te listy przy użyciu przechowywanych danych uwierzytelniających API właściciela.

Wtyczka Lightbox with PhotoSwipe dla WordPressa przed wersją 5.9.0 nie oczyszcza ani nie koduje atrybutu danych linku przed wyrenderowaniem go w podpisie lightboxa w przeglądarce. Użytkownicy z dostępem na poziomie autora i wyższym (którzy nie mają możliwości unfiltered_html) mogą przechowywać JavaScript, który uruchamia się, gdy odwiedzający lub administrator otworzy lightbox.

Wtyczka Check & Log Email dla WordPressa przed wersją 2.0.15 nieprawidłowo oczyszcza i koduje parametry przed użyciem ich w zapytaniach SQL, umożliwiając użytkownikom z uprawnieniami administratora przeprowadzanie ataków SQL injection.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nie ogranicza zestawu dostępnych bramek płatności do tych włączonych przez administratora, czerpiąc go częściowo z danych wejściowych żądania. Umożliwia to nieuwierzytelnionym użytkownikom finalizowanie darowizn za pomocą bramki płatności, którą administrator wyłączył.

Wtyczka wpForo Forum dla WordPressa przed wersją 3.1.2 nie weryfikuje, czy rozmowa AI chat należy do żądającego użytkownika przed usunięciem jej wiadomości. Pozwala to użytkownikom z kontem na poziomie subskrybenta na trwałe usunięcie historii wiadomości AI chat dowolnego innego użytkownika.

Wtyczka Academy LMS dla WordPressa do wersji 3.8.2 nie ogranicza dostępu do rekordów prób quizów do ich właściciela. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie subskrybenta i wyższym (zapisanemu na dowolny kurs) na odczytanie prób quizów wszystkich użytkowników w całej witrynie, w tym danych osobowych takich jak adresy IP, nazwiska, daty rejestracji i wyniki quizów.

W CodeIgniter przed wersją 4.7.4, metoda IncomingRequest::isSecure() ufa nagłówkom X-Forwarded-Proto i Front-End-Https, co pozwala atakującemu na podszycie się i błędne uznanie żądania HTTP za bezpieczne, co może wpłynąć na logikę wymuszającą HTTPS.

W Cloudreve przed wersją 4.17.0, walidacja sesji WOPI używa tylko prefiksu session-id tokena dostępu i nie wymusza żądanej akcji, co pozwala złośliwemu przeglądającemu na sfałszowanie sufiksu tokena i wywołanie zapisu pliku.

W Cloudreve przed wersją 4.17.0, subskrypcja zdarzeń dla pojedynczego udostępnionego pliku rozpoznaje katalog nadrzędny właściciela i subskrybuje go, co pozwala uwierzytelnionemu odbiorcy na otrzymywanie informacji o nieudostępnionych plikach i folderach.

Cloudreve przed wersją 4.17.0 zawiera podatność w dekoderach miniatur i awatarów, które ograniczają rozmiar skompresowanego pliku, ale nie ograniczają wymiarów pikseli po dekompresji. Uwierzytelniony użytkownik może przesłać mały plik PNG, JPEG lub GIF, który powoduje nieograniczoną alokację pamięci i zatrzymanie procesu Cloudreve z powodu krytycznego błędu braku pamięci.

Cloudreve przed wersją 4.17.0 zawiera podatność w punkcie końcowym GET /api/v4/user/search, który wywołuje SearchActive bez dodawania predykatu StatusActive i serializuje wyniki na poziomie RedactLevelUser. Pozwala to każdemu zalogowanemu użytkownikowi na wyliczenie adresów e-mail i metadanych profili dla nieaktywnych lub zablokowanych kont.

Cloudreve przed wersją 4.17.0 zawiera podatność w handlerze WOPI PUT_RELATIVE, który przekazuje X-WOPI-SuggestedTarget do URI.JoinRaw jako ścieżkę, a nie nazwę pliku. Umożliwia to użycie segmentów slash i dot-dot do opuszczenia katalogu pliku źródłowego i tworzenia lub warunkowego nadpisywania plików w innym miejscu na koncie tego samego właściciela.

W funkcjonalności przesyłania plików występuje przepełnienie bufora na stosie, które może pozwolić uwierzytelnionemu atakującemu na wykonanie kodu.

W Google mcp-toolbox w wersjach 0.3.0 do 1.4.0 istnieje podatność SSRF w komponentach źródła HTTP i narzędzi, spowodowana brakiem restrykcyjnej polityki CheckRedirect i walidacji IP docelowego, co pozwala na przekierowanie żądań do wewnętrznych lub zewnętrznych punktów końcowych.

Komponent subskrybenta GOOSE nieprawidłowo sprawdza poprawność pola znacznika czasu UTC w nieuwierzytelnionych wiadomościach multicastowych IEC 61850 GOOSE (EtherType 0x88B8) warstwy 2. Specjalnie spreparowana ramka GOOSE zawierająca zbyt małe pole znacznika czasu może wywołać odczyt poza zakresem sterty podczas przetwarzania wiadomości, powodując awarię procesu i prowadząc do odmowy usługi.