Podatności JetEngine

Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce JetEngine w wersjach do 3.8.14.1 włącznie.

Wtyczka JetEngine w wersji 3.8.11 i starszych jest podatna na ataki SSRF z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wysłać żądanie do wewnętrznych zasobów sieciowych.

W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

W wersjach JetEngine <= 3.8.9.1 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.

Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.

Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.

W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.

Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.

W wersjach JetEngine do 3.8.9.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.

Wtyczka JetEngine dla WordPress od Crocoblock jest podatna na iniekcję SQL. Podatność występuje we wszystkich wersjach do 3.8.8.1 włącznie. Brak odpowiedniej neutralizacji specjalnych elementów używanych w poleceniach SQL umożliwia atakującemu wykonanie dowolnych zapytań SQL.

Podatność typu Reflected Cross-Site Scripting (XSS) w wtyczce JetEngine od Crocoblock. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia odbicie złośliwego skryptu w odpowiedzi serwera.

Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.

Wtyczka JetEngine do WordPressa przed wersją 3.8.13.1 nie dezynfekuje przesłanych plików SVG przed ich przechowywaniem i serwowaniem oraz nie ogranicza odpowiednio, kto może je przesyłać, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting).

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce JetEngine w wersjach do 3.8.13.1 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.