CVE-2024-8485
KrytyczneStreszczenie
Wtyczka REST API TO MiniProgram dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do i włącznie z 4.7.1. Problem wynika z braku walidacji klucza 'openid', co pozwala nieautoryzowanym atakującym na aktualizację kont dowolnych użytkowników.
Ocena ryzyka
Atakujący mogą zmieniać adresy e-mail użytkowników, co umożliwia resetowanie haseł, w tym kont administratorów, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów zabezpieczających, takich jak walidacja danych wejściowych.
Powiązane podatności
- CVE-2026-79687Krytyczne
Dell PowerStore SDNAS zawiera podatność braku uwierzytelnienia dla krytycznej funkcji. Nieuwierzytelniony atakujący z dostępem zdalnym może wykorzystać tę lukę, prowadząc do dostępu do systemu plików.
- CVE-2026-18931Krytyczne
Podatność użycia twardo zakodowanych poświadczeń w oprogramowaniu Talassoft Industrial Management Software. Umożliwia ona odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od V.4 przed V.16.
- CVE-2026-78012Krytyczne
Problem w stosie NetStaX EtherNet/IP przed wersją v5.6.1 może pozwolić na przekroczenie bufora odbiorczego po stronie aplikacji przez duże żądanie klasy 3, bez generowania błędu lub ostrzeżenia. Może to prowadzić do uszkodzenia pamięci, awarii urządzenia lub potencjalnego zdalnego ataku.
- CVE-2026-9621Krytyczne
Problem bezpieczeństwa polegający na odmowie usługi w RSLinx Classic. Nieprawidłowe obsłużenie uszkodzonego pakietu CIP może spowodować awarię usługi RSLinx Classic, wymagającą jej ponownego uruchomienia.
- CVE-2026-18808Krytyczne
Podatność polegająca na niewłaściwej kontroli generowania kodu (wstrzykiwanie kodu) w KIO (Klemsan Internet Objects). Umożliwia wstrzyknięcie kodu. Problem dotyczy wersji przed v1.9.
- CVE-2026-18210Krytyczne
Podatność polegająca na niewłaściwej neutralizacji specjalnych elementów w poleceniu SQL (wstrzykiwanie SQL) w Products's Store firmy TRtek. Umożliwia wstrzyknięcie SQL. Problem dotyczy wersji przed 030631b2.
- CVE-2026-84149Krytyczne
Podatność w systemie ERP spowodowana ujawnieniem informacji o repozytorium poprzez publicznie dostępny katalog .git. Nieuwierzytelniony atakujący może uzyskać metadane repozytorium i powiązane pliki, co może umożliwić rekonstrukcję kodu źródłowego aplikacji.
- CVE-2026-84148Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i autoryzacji w punkcie końcowym API. Nieuwierzytelniony atakujący może manipulować parametrami, co prowadzi do ujawnienia wrażliwych informacji innych użytkowników.
- CVE-2026-84147Krytyczne
Podatność w systemie ERP spowodowana niewłaściwą kontrolą uwierzytelniania i nieodpowiednią walidacją typów plików w punkcie końcowym API. Nieuwierzytelniony atakujący może przesyłać dowolne pliki do katalogu dostępnego z sieci, co może umożliwić wykonanie dowolnego kodu i naruszenie systemu.
- CVE-2026-84121Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy z powodu użycia po zwolnieniu (use-after-free) w komponencie DOM: Security. Luka została naprawiona w przeglądarce Firefox 155 oraz w wersjach ESR 115.40, 140.15 i 153.2.
Oryginalny opis (angielski, źródło NVD)
The REST API TO MiniProgram plugin for WordPress is vulnerable to privilege escalation via account takeovr in all versions up to, and including, 4.7.1 via the updateUserInfo() due to missing validation on the 'openid' user controlled key that determines what user will be updated. This makes it possible for unauthenticated attackers to update arbitrary user's accounts, including their email to a @weixin.com email, which can the be leveraged to reset the password of the user's account, including administrators.