Podatności Qi Blocks

Wtyczka Qi Blocks dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 1.4.9 włącznie. Brak walidacji parametru 'page_id' umożliwia uwierzytelnionym atakującym z dostępem autora i wyższym modyfikację stylów Qi Blocks w dowolnych postach, szablonach lub widgetach, których nie są właścicielami, w tym na powierzchniach ogólnoserwisowych poprzez zarezerwowane wartości 'template' i 'widget'.

Podatność typu Stored Cross-Site Scripting (XSS) w Qi Blocks (wersje do 1.4.3). Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.

Wtyczka Qi Blocks dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.4.3 włącznie. Wtyczka przechowuje dowolne style CSS przesłane przez endpoint REST API `qi-blocks/v1/update-styles` bez odpowiedniej sanityzacji w funkcji `update_global_styles_callback()`. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolny CSS, co może służyć do ukrywania treści, nakładania fałszywych elementów interfejsu lub eksfiltracji danych.