Podatności IDonate

Wtyczka IDonate (idonate) do wersji 2.1.15 włącznie zawiera podatność braku autoryzacji. Umożliwia ona wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji panding_blood_request_action() we wszystkich wersjach do 2.1.15 włącznie. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów.

Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji admin_post_donor_delete() w wersjach 2.0.0 do 2.1.9. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber lub wyższym mogą usunąć dowolne konta użytkowników, w tym administratorów, poprzez podanie dowolnej wartości parametru user_id do funkcji wp_delete_user().