CVE-2017-1002007
WysokieStreszczenie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na wstrzykiwanie nowych kontaktów do tabeli wp_contact bez sprawdzenia uprawnień użytkownika.
Ocena ryzyka
Brak autoryzacji przy dodawaniu kontaktów może prowadzić do nieautoryzowanego dostępu do danych użytkowników oraz ich modyfikacji.
Rekomendacja
Zaleca się aktualizację wtyczki DTracker do najnowszej wersji, która wprowadza odpowiednie kontrole autoryzacji.
Inne podatności w WordPress plugin DTracker v1.5
Zobacz wszystkie- CVE-2017-1002006Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 pozwala na dodawanie nowych kontaktów do tabeli wp_contact bez sprawdzania uprawnień użytkownika.
- CVE-2017-1002005Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych w pliku ./dtracker/delete.php. Zmienna contact_id nie jest odpowiednio filtrowana przed dodaniem jej do zapytania SQL.
- CVE-2017-1002004Wysokie
Podatność w wtyczce WordPress DTracker w wersji 1.5 polega na braku sanitizacji danych wejściowych użytkownika w pliku ./dtracker/download.php. Zmienna id jest dodawana na końcu zapytania SQL bez odpowiedniego przetworzenia.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in wordpress plugin DTracker v1.5, The code dtracker/save_mail.php doesn't check that the user is authorized before injecting new contacts into the wp_contact table.