Podatności Kirki

Wtyczka Kirki w wersji 6.0.11 i starszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Umożliwia to atakującemu bez logowania dostęp do chronionych zasobów lub danych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie weryfikuje adresu URL podanego przez użytkownika przed wykonaniem żądania po stronie serwera, co umożliwia nieuwierzytelnionym atakującym wysyłanie żądań HTTP do dowolnych hostów (podatność SSRF).

Wtyczka Kirki dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) w wersjach do 6.0.12 włącznie. Problem wynika z niewłaściwego neutralizowania specjalnych elementów w zapytaniach SQL.

Wtyczka Kirki dla WordPressa zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów. Problem dotyczy wersji do 6.0.12 włącznie.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Kirki WordPress przed wersją 6.2.3 nieprawidłowo waliduje pliki w archiwach przesyłanych przez użytkowników z rolą Editor i nie usuwa wszystkich niepożądanych plików po rozpakowaniu, co pozwala takim użytkownikom na przesyłanie dowolnych plików do katalogu dostępnego z sieci, prowadząc do Stored XSS oraz RCE na niektórych konfiguracjach serwera.

Nieuwierzytelniony atak XSS w bibliotece Kirki w wersjach do 6.2.3. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa do wersji 6.1.1 włącznie jest podatna na obejście autoryzacji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie custom-level na odczyt dowolnych metadanych użytkownika i wrażliwych pól, takich jak adres e-mail, role, data rejestracji i wartości user_meta, należących do dowolnego użytkownika, w tym administratorów.

Wtyczka Kirki dla WordPressa do wersji 6.1.1 włącznie jest podatna na Directory Traversal przez parametr 'data'. Uwierzytelnieni atakujący z dostępem edytora i wyższym mogą odczytać zawartość dowolnych plików na serwerze, w tym wrażliwe informacje, omijając zabezpieczenie oparte na strpos() poprzez osadzenie sekwencji traversal w URL.

Wtyczka Kirki dla WordPressa przed wersją 6.2.1 nie autoryzuje poprawnie swoich tras REST do przesyłania formularzy z front-endu i przekazuje dane kontrolowane przez atakującego do wykonania shortcode'ów, co pozwala nieuwierzytelnionym użytkownikom na uruchamianie dowolnych shortcode'ów zarejestrowanych na stronie, co w domyślnej instalacji prowadzi do ujawnienia adresu e-mail administratora witryny i umożliwia wysyłkę poczty do dowolnego odbiorcy z domeny ofiary.

Wtyczka Kirki dla WordPressa (w wersjach do 6.2.0 włącznie) jest podatna na przechowywany atak XSS przez shortcode post_meta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Wtyczka Kirki dla WordPress jest podatna na Path Traversal (Zip Slip) przez funkcję extract_zip_file. Atakujący z dostępem na poziomie niestandardowym mogą zapisywać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Kirki dla WordPressa przed wersją 6.0.13 nieprawidłowo oczyszcza i koduje wartość pochodzącą z żądania przed użyciem jej w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL Injection.

Wtyczka Kirki dla WordPressa przed wersją 6.0.13 nie ogranicza, które klasy mogą być tworzone podczas deserializacji danych przechowywanych przez nieuwierzytelnionych użytkowników. Prowadzi to do PHP Object Injection, który jest wyzwalany, gdy administrator później przegląda te dane. Przy odpowiednim łańcuchu gadżetów (np. z innej wtyczki lub starej wersji WordPressa) może to prowadzić do zdalnego wykonania kodu.

Wtyczka Kirki w wersji 6.0.13 i starszych ma podatność na dowolne usuwanie plików dla użytkowników z rolą Edytora. Edytor może usunąć dowolny plik na serwerze.

Wtyczka Kirki dla WordPress do wersji 6.0.14 włącznie zawiera podatność na Insecure Direct Object Reference przez parametr 'context', umożliwiającą nieuwierzytelnionym atakującym odczyt tytułu, treści i fragmentu dowolnego posta WordPress, w tym szkiców, oczekujących, prywatnych, chronionych hasłem i usuniętych.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie oczyszcza ani nie koduje wartości tematu i treści wiadomości e-mail dostarczonych w żądaniu przed umieszczeniem ich w e-mailu resetującym hasło wysyłanym jako HTML. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML do wiadomości dostarczonej zarejestrowanemu użytkownikowi, co może być wykorzystane do phishingu.

Wtyczka Kirki dla WordPressa przed wersją 6.0.12 nie przeprowadza autoryzacji na jednej ze swoich ścieżek REST, co pozwala nieuwierzytelnionym użytkownikom nadpisywać treść dowolnych istniejących komentarzy oraz tworzyć wstępnie zatwierdzone komentarze pod fałszywą tożsamością, omijając moderację komentarzy.

Wtyczka Kirki dla WordPressa jest podatna na atak typu Directory Traversal poprzez parametr 'family'. Uwierzytelnieni atakujący z dostępem na poziomie edytora lub wyższym mogą usuwać dowolne katalogi na serwerze.

Wtyczka Kirki dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wersji do 6.0.13 włącznie.

Wtyczka Kirki dla WordPressa zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 6.0.11 włącznie.

Wtyczka Kirki dla WordPressa do wersji 6.0.11 włącznie zawiera podatność na pominięcie autoryzacji. Nieuwierzytelniony atakujący może wysyłać dowolne e-maile z wstrzykniętym kodem HTML, w tym phishingowe z prawdziwym linkiem do resetowania hasła, wykorzystując serwer pocztowy witryny i jego reputację SPF/DKIM.

Wtyczka Kirki dla WordPressa do wersji 6.0.11 włącznie zawiera podatność na ujawnienie wrażliwych informacji poprzez funkcję get_single_symbol. Niezautoryzowani atakujący mogą wyodrębnić pełne metadane i wyrenderowany HTML dowolnego posta kirki_symbol, włączając nieopublikowane szkice, poprzez podanie sekwencyjnego ID posta.

Podatność w pluginie Kirki dla WordPressa polegająca na pominięciu autoryzacji we wszystkich wersjach do 6.0.6 włącznie. Umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym przeglądanie wszystkich formularzy Kirki i odczytywanie danych przesłanych przez odwiedzających, w tym danych kontaktowych i wiadomości.

Wtyczka Kirki dla WordPressa do wersji 6.0.6 włącznie zawiera podatność na usuwanie plików z powodu niedostatecznej walidacji ścieżki pliku i braku sprawdzania uprawnień w funkcji 'downloadZIP'. Niezalogowani atakujący mogą odczytywać i usuwać dowolne pliki w katalogu uploads WordPressa.