CVE-2017-1002006
WysokieStreszczenie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na dodawanie nowych kontaktów do tabeli wp_contact bez sprawdzania uprawnień użytkownika.
Ocena ryzyka
Brak autoryzacji przy dodawaniu kontaktów może prowadzić do nieautoryzowanego dostępu do danych oraz ich manipulacji, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Zaleca się aktualizację wtyczki DTracker do najnowszej wersji, która wprowadza odpowiednie mechanizmy autoryzacji.
Inne podatności w WordPress plugin DTracker v1.5
Zobacz wszystkie- CVE-2017-1002007Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na wstrzykiwanie nowych kontaktów do tabeli wp_contact bez sprawdzenia uprawnień użytkownika.
- CVE-2017-1002005Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych w pliku ./dtracker/delete.php. Zmienna contact_id nie jest odpowiednio filtrowana przed dodaniem jej do zapytania SQL.
- CVE-2017-1002004Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych użytkownika w pliku ./dtracker/download.php. Zmienna id jest dodawana na końcu zapytania SQL bez odpowiedniego przetworzenia.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in wordpress plugin DTracker v1.5, The code dtracker/save_contact.php doesn't check that the user is authorized before injecting new contacts into the wp_contact table.