CVE-2024-6328
KrytyczneStreszczenie
Wtyczka MStore API – Create Native Android & iOS Apps On The Cloud dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie 4.14.7. Problem wynika z niewystarczającej weryfikacji parametru 'phone' w funkcjach 'firebase_sms_login' i 'firebase_sms_login_v2'.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą zalogować się jako dowolny istniejący użytkownik, w tym administrator, jeśli znają adres e-mail lub numer telefonu. Dodatkowo, podając nowy adres e-mail, można stworzyć nowe konto użytkownika z domyślną rolą, nawet jeśli rejestracja jest wyłączona.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność. Należy również rozważyć dodatkowe zabezpieczenia, takie jak weryfikacja tożsamości użytkowników przed logowaniem.
Powiązane podatności
- CVE-2026-103091Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.
- CVE-2026-102503Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.
- CVE-2026-108983Krytyczne
W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.
- CVE-2026-111998Krytyczne
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.
- CVE-2026-110886Krytyczne
Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.
- CVE-2026-110372Krytyczne
Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
- CVE-2026-109894Krytyczne
Wtyczka Booktics (do wersji 1.0.29) jest podatna na wstrzyknięcie SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykonać dowolne zapytania SQL.
- CVE-2026-111911Krytyczne
phpMyFAQ w wersjach 4.0.0 przed 4.1.9 zawiera lukę obejścia uwierzytelniania w endpointach rejestracji WebAuthn, które przypisują poświadczenia do dowolnego konta bez uwierzytelnienia i walidacji wyzwania. Atakujący może przygotować nazwę użytkownika ofiary, przesłać sfałszowaną atestację fmt=none, aby zarejestrować passkey, a następnie zalogować się z pominięciem hasła i TOTP, przejmując konto.
- CVE-2026-104736Krytyczne
Wtyczka LearnPress dla WordPressa w wersjach do 4.4.10 włącznie jest podatna na wstrzyknięcie obiektu PHP (PHP Object Injection) poprzez deserializację niezaufanych danych z parametru 'checkout-email' w akcji AJAX podczas finalizacji zamówienia. Wartość przechodzi przez sanitize_text_field(), które nie usuwa składni serializowanego obiektu, jest zapisywana w tabeli sesji LearnPress, a następnie przekazywana do unserialize() bez ograniczenia allowed_classes.
- CVE-2026-110653Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.4 włącznie jest podatna na obejście uwierzytelniania poprzez warunek wyścigu (race condition) w funkcji verifyOTP. Licznik prób weryfikacji OTP jest aktualizowany nieatomowo, bez warunku WHERE attempts < 10 i bez blokady wiersza, co tworzy okno TOCTOU pozwalające równoległym żądaniom obejść limit 10 prób.
Oryginalny opis (angielski, źródło NVD)
The MStore API – Create Native Android & iOS Apps On The Cloud plugin for WordPress is vulnerable to authentication bypass in all versions up to, and including, 4.14.7. This is due to insufficient verification on the 'phone' parameter of the 'firebase_sms_login' and 'firebase_sms_login_v2' functions. This makes it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to the email address or phone number. Additionally, if a new email address is supplied, a new user account is created with the default role, even if registration is disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS