Katalog podatności CVE

Platforma e-commerce BeeTienda (najnowsza wersja demo) jest podatna na odbity Cross-Site Scripting (XSS) w parametrze 'search' endpointu listy produktów. Brak prawidłowej sanityzacji danych wejściowych powoduje, że złośliwe ładunki są wyświetlane w odpowiedzi HTML, umożliwiając wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność w Zephyr RTOS dotyczy handlera trybu użytkownika z_vrfy_device_deinit() w kernel/device.c, który walidował argument dev za pomocą K_SYSCALL_OBJ_INIT(dev, K_OBJ_ANY). Ponieważ k_object_validate() pomija porównanie typu dla K_OBJ_ANY, sprawdzenie ograniczało się do tego, czy wskaźnik należy do dowolnego obiektu jądra, do którego wątek ma uprawnienia — bez weryfikacji rzeczywistego typu obiektu. Umożliwia to lokalnemu wątkowi w trybie użytkownika przekazanie obiektu stosu wątku (np. z k_thread_stack_alloc()) i wykonanie kodu jądra w trybie supervisora.

W podsystemie MMU dla architektury ARM64 w Zephyr RTOS identyfikatory ASID przydzielane są przez prosty licznik round-robin, który po przekroczeniu 255 możliwych wartości zaczyna przydzielać te same ASID aktywnym domenom pamięci. Ponieważ mapowania domen są instalowane jako nieglobalne (MT_NG), ASID jest jedynym znacznikiem odróżniającym tłumaczenia w TLB, a ścieżka przełączenia kontekstu nie opróżnia TLB w przypadku kolizji osiągniętej przez trzecią domenę. W efekcie wątki w trybie użytkownika mogą czytać i zapisywać pamięć należącą do innej domeny, naruszając izolację domen pamięci.

W backendzie SHI host-command dla układów ITE IT8xxx2 (subsys/mgmt/ec_host_cmd/backends/ec_host_cmd_backend_shi_ite.c) nagłówek żądania host-command o rozmiarze 8 bajtów był kopiowany z FIFO SPI Rx bezpośrednio do współdzielonego bufora odbiorczego data->in_msg, a weryfikacja wersji protokołu i długości pakietu następowała dopiero później. Obsługa przerwań akceptowała również sygnał chip-select i przerwanie Rx-valid-length (RVLI) w każdym stanie sterownika poza SHI_STATE_DISABLED, co pozwalało na parsowanie nowego nagłówka, gdy wątek host-command wciąż przetwarzał poprzednie żądanie z tego samego bufora. W wyniku wyścigu (race condition) handler komendy mógł otrzymać długość wejścia 65535 bajtów dla bufora o rozmiarze 256 bajtów.

Podatność w LE Audio Broadcast Sink (subsys/bluetooth/audio/bap_broadcast_sink.c) pozwala atakującemu w zasięgu radiowym na zapis danych poza granicami statycznej struktury mod_src_param w pamięci .bss. Brak sprawdzenia rozmiaru przy kopiowaniu metadanych podgrup z ramki BASE prowadzi do przepełnienia bufora, co może skutkować zdalnym wykonaniem kodu w wątku Bluetooth RX.

Podatność w jądrze Zephyr RTOS pozwala nieuprzywilejowanemu wątkowi użytkownika na zapis poza granicami w pamięci jądra. Wynika to z braku kontroli przepełnienia przy obliczaniu rozmiaru alokacji dla dynamicznych obiektów jądra, co prowadzi do alokacji zbyt małego bloku pamięci. Atakujący może wykorzystać to do eskalacji uprawnień i wykonania kodu na poziomie jądra.

W Progress Telerik Report Server przed wersją 12.2.26.1007 występuje podatność typu stored cross-site scripting w współdzielonym silniku raportowania. Uwierzytelniony autor raportu może osadzić adresy URL javascript: lub vbscript: w akcjach nawigacyjnych raportu lub linkach w polach tekstowych HTML. Gdy inny użytkownik wyświetli złośliwy raport i uruchomi osadzoną nawigację, skrypt kontrolowany przez atakującego może zostać wykonany w kontekście przeglądarki ofiary.

W Progress Telerik Report Server przed wersją 12.2.26.1007 nieprawidłowe przypisanie uprawnień w hubie SignalR service-agent pozwala uwierzytelnionemu użytkownikowi, w tym kontu o niskich uprawnieniach lub gościowi z ważnym tokenem bearer, zarejestrować się jako zaufany agent usługi. Przy następnej synchronizacji ustawień serwera fałszywy agent otrzymuje ustawienia magazynu i prywatne klucze szyfrujące.

Wtyczka Redux Framework dla WordPressa (wszystkie wersje do 4.5.11 włącznie) jest podatna na eskalację uprawnień. Wynika to z zapisywania dowolnych kluczy meta pod zarejestrowaną nazwą opcji bez wystarczających kontroli uprawnień lub ograniczeń listy dozwolonych kluczy, co pozwala uwierzytelnionym atakującym z poziomem Subscriber i wyższym ustawić dowolną rolę (np. Administratora) podczas aktualizacji profilu, jeśli wtyczka lub motyw korzystający z tego frameworka dodał co najmniej jedno pole profilu użytkownika wykorzystujące Redux_Users::set_profile/set_section/set_field.

Wtyczka WP Rocket dla WordPressa (WP Media) zawiera podatność typu Executable Regular Expression Error, która umożliwia wstrzyknięcie kodu. Problem dotyczy wersji od nieznanej do 3.23.5.

Wtyczka WordPress FooSales w wersji przed 1.43.3 nie weryfikuje, czy uwierzytelniony użytkownik ma prawo działać w imieniu użytkownika wskazanego w żądaniu. Każdy zalogowany użytkownik może wymusić na wtyczce działanie jako dowolny inny użytkownik, w tym administrator, co prowadzi do ujawnienia danych konta i jego przejęcia.

Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 chroni endpoint logowania stałym tokenem, który jest taki sam na każdej instalacji, zamiast sekretu per witryna. Umożliwia to nieuwierzytelnionym użytkownikom odczyt logów wysyłki newsletterów, w tym adresów e-mail odbiorców.

Wtyczka WordPress SendPress Newsletters w wersji do 1.26.1.20 nie sprawdza uprawnień użytkownika przy kilku akcjach zarządzania newsletterami. Każdy uwierzytelniony użytkownik na poziomie subskrybenta może zsynchronizować wszystkich użytkowników witryny do listy mailingowej i sterować kolejką wysyłki newsletterów.

Wtyczka WordPress Social Web Suite w wersji do 4.1.12 nie ogranicza, które ustawienia mogą być zapisywane przez nieuwierzytelniony endpoint. Atakujący może nadpisać dowolne opcje wtyczki, w tym wspólny sekret chroniący jej własne uprzywilejowane endpointy.

Wtyczka WordPress UnitechPay w wersji do 1.0.6.3 nie weryfikuje autentyczności otrzymywanych powiadomień o płatnościach. Umożliwia to nieuwierzytelnionym atakującym oznaczenie zamówień jako opłaconych bez dokonania płatności oraz wymuszenie stanu błędu na innych zamówieniach.

Wtyczka WordPress SKU Error Fixer for WooCommerce w wersji do 1.0 nie wykonuje sprawdzeń uprawnień ani nonce w dwóch akcjach AJAX, które są dostępne także dla nieuwierzytelnionych użytkowników. Pozwala to na trwałe usunięcie wariantów produktów uznanych za przestarzałe oraz ujawnienie ich szczegółów, bez możliwości odzyskania kopii.

Wtyczki Ocean Pro Demos i Ocean eComm Treasure Box dla WordPressa są podatne na stored cross-site scripting poprzez parametr 'content' we wszystkich wersjach do 1.5.4 i 1.8.0. Wynika to z niewystarczającej autoryzacji, sanityzacji danych wejściowych i escapowania danych wyjściowych w akcji AJAX save_popup_content w Popup Builderze. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do opublikowanego popupu Gutenberga.

Wtyczka WordPress Code Snippets w wersji przed 3.10.0 nie sanityzuje ani nie escapuje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL w niektórych punktach końcowych importu migracji snippetów. Są one dostępne dla każdego użytkownika posiadającego uprawnienia administracyjne witryny; w sieci WordPress Multisite należą one do administratorów podwitryny, co pozwala administratorowi podwitryny niebędącemu super administratorem sieci na przeprowadzenie ataku SQL injection typu UNION na wspólne tabele sieci i ujawnienie danych w całej sieci, takich jak hasła innych użytkowników.

Wtyczka WordPress Code Snippets w wersji przed 3.10.0 nie wykonuje sprawdzenia uprawnień w jednej z akcji zarządzania snippetami i wyznacza zakres sieciowy docelowego snippetu na podstawie żądania, a nie zapisanego rekordu. Pozwala to administratorowi pojedynczej podwitryny w sieci multisite na aktywowanie, dezaktywowanie i zmianę priorytetu snippetów o zasięgu sieciowym, które działają na wszystkich witrynach w sieci.

Biblioteka ash (wersje od 2.6.0 przed 3.34.6) zawiera podatność typu nieprawidłowa autoryzacja, która pozwala aktorowi wywnioskować dane z powiązanych rekordów, których nie może odczytać, poprzez Ash.count/2, Ash.exists/2 i Ash.aggregate/3. Ścieżka agregacji stosowała tylko politykę odczytu zasobu głównego, pomijając polityki odczytu zasobów powiązanych, co umożliwia testowanie warunków na ukrytych wierszach i odzyskiwanie ich istnienia oraz wartości atrybutów.