Podatności ProfilePress

Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.

Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.

Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.

W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.

Wtyczka ProfilePress dla WordPress do wersji 4.16.11 umożliwia wykonanie dowolnych shortcode'ów. Dzieje się tak, ponieważ wartości pól billingowych z procesu zamówienia są interpolowane do szablonów shortcode'ów bez odpowiedniego oczyszczania. Niezautoryzowani atakujący mogą wykonać dowolne shortcode'y, przesyłając spreparowane wartości pól podczas zamówienia.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.