Katalog podatności CVE

Utrwalone XSS w pluginie MyBB Last User's Threads in Profile 1.2. Atakujący mogą wstrzyknąć złośliwe skrypty poprzez tworzenie wątków z tagami script w temacie, które wykonują się podczas odwiedzania profilu atakującego.

Wtyczka MyBB Downloads w wersji 2.0.3 zawiera podatność na trwałe skrypty między witrynami (XSS), umożliwiającą zwykłym użytkownikom wstrzykiwanie złośliwych skryptów przez pole tytułu pliku do pobrania. Atakujący może przesłać nowy plik z kodem HTML/JavaScript w parametrze tytułu, który wykonuje się podczas zatwierdzania pliku przez administratora w downloads.php.

W aplikacji 7 Tik 1.0.1.0 wykryto podatność na atak typu odmowa usługi (DoS). Atakujący może spowodować awarię aplikacji, wklejając w pole wyszukiwania zbyt długi ciąg znaków (7700 znaków).

VPN Browser+ 1.1.0.0 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym atakującym na awarię aplikacji poprzez przesłanie zbyt dużego wejścia w funkcji wyszukiwania. Atakujący mogą wkleić duży bufor znaków do paska wyszukiwania, co wywołuje nieobsłużony wyjątek i kończy działanie aplikacji.

W oprogramowaniu sheed AntiVirus 2.3 wykryto podatność związaną z niecytowaną ścieżką serwisu ShavProt. Lokalny atakujący może wykorzystać tę lukę do eskalacji uprawnień poprzez umieszczenie złośliwego pliku wykonywalnego w niecytowanej ścieżce i wywołanie restartu usługi lub systemu, co pozwoli na wykonanie kodu z uprawnieniami LocalSystem.

Hotspot Shield 6.0.3 zawiera podatność niecytowanej ścieżki usługi w pliku binarnym hshld, co pozwala lokalnym atakującym na eskalację uprawnień poprzez wstrzyknięcie złośliwych plików wykonywalnych. Atakujący mogą umieścić pliki wykonywalne w ścieżce usługi, a po ponownym uruchomieniu usługi lub systemu złośliwy kod wykonuje się z uprawnieniami LocalSystem.

Podatność w IObit Malware Fighter 4.3.1 wynika z niecytowanej ścieżki usług IMFservice i LiveUpdateSvc. Lokalny atakujący może umieścić złośliwy plik wykonywalny w tej ścieżce, co po restarcie usługi lub systemu prowadzi do eskalacji uprawnień do poziomu LocalSystem.

Podatność w Netgate AMITI Antivirus build 23.0.305 polega na niecytowanej ścieżce usług AmitiAvSrv i AmitiAntivirusHealth. Lokalny atakujący może umieścić złośliwy plik wykonywalny w tej ścieżce i po restarcie usługi lub systemu uzyskać uprawnienia LocalSystem.

NETGATE Registry Cleaner build 16.0.205 zawiera podatność niecytowanej ścieżki serwisu w usłudze NGRegClnSrv, która umożliwia lokalnym atakującym eskalację uprawnień poprzez wykorzystanie ścieżki binarnej serwisu. Atakujący mogą umieścić złośliwy plik wykonywalny w niecytowanej ścieżce i wywołać restart serwisu lub ponowne uruchomienie systemu, aby wykonać kod z uprawnieniami LocalSystem.

Spy Emergency build 23.0.205 zawiera podatność niecytowanej ścieżki usługi w usługach SpyEmrgHealth i SpyEmrgSrv, co pozwala lokalnym atakującym na eskalację uprawnień poprzez umieszczenie złośliwych plików wykonywalnych. Atakujący mogą umieścić pliki wykonywalne w niecytowanej ścieżce usługi i wywołać restart usługi lub ponowne uruchomienie systemu, aby wykonać kod z uprawnieniami LocalSystem.

W usłudze AdvancedSystemCareService10 programu IObit Advanced SystemCare 10.0.2 występuje podatność na niecytowaną ścieżkę usługi. Lokalny atakujący może umieścić złośliwy plik wykonywalny w ścieżce usługi, co po ponownym uruchomieniu usługi lub systemu prowadzi do eskalacji uprawnień do poziomu LocalSystem.

Wtyczka wpForo Forum dla WordPressa do wersji 2.4.16 ma podatność na usuwanie dowolnych plików. Brak walidacji ścieżki pliku pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na usuwanie dowolnych plików na serwerze poprzez osadzenie spreparowanej ścieżki w treści posta na forum, a następnie usunięcie posta.

Wtyczka Visitor Traffic Real Time Statistics dla WordPressa do wersji 8.4 zawiera podatność na przechowywany XSS poprzez parametr 'page_title'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator wejdzie w sekcję Traffic by Title.

Wtyczka Text to Speech for WP (AI Voices by Mementor) dla WordPressa w wersjach do 1.9.8 zawiera zakodowane na stałe dane uwierzytelniające bazy danych MySQL dla zewnętrznego serwera telemetrycznego dostawcy w klasie Mementor_TTS_Remote_Telemetry. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie i odkodowanie tych danych, uzyskując nieautoryzowany dostęp do zapisu w bazie telemetrycznej dostawcy.

Wtyczka Widgets for Social Photo Feed dla WordPressa do wersji 1.7.9 włącznie jest podatna na przechowywane ataki XSS przez klucze parametru 'feed_data'. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.

Wtyczka WCFM – Frontend Manager for WooCommerce dla WordPressa (wersje do 6.7.25 włącznie) zawiera podatność na Insecure Direct Object Reference (IDOR) w wielu akcjach AJAX, takich jak `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product` oraz w kontrolerze zarządzania artykułami. Brak walidacji identyfikatorów obiektów dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym (z dostępem na poziomie Vendor i wyższym) modyfikację statusu dowolnego zamówienia, usuwanie lub modyfikację dowolnego posta/produktu/strony, niezależnie od własności.

Electron w wersjach od 39.0.0-alpha.1 do przed 39.8.0, od 40.0.0-alpha.1 do przed 40.7.0 oraz od 41.0.0-alpha.1 do przed 41.0.0-beta.8 zawiera podatność na ominięcie izolacji kontekstu. Aplikacje przekazujące obiekty VideoFrame (z API WebCodecs) przez contextBridge są podatne na atak. Osoba atakująca, która może wykonać JavaScript w głównym świecie (np. przez XSS), może użyć mostkowanego VideoFrame, aby uzyskać dostęp do izolowanego świata, w tym do API Node.js udostępnionych skryptowi preload.

PraisonAI przed wersją 4.5.97 zawiera podatność w SubprocessSandbox we wszystkich trybach (BASIC, STRICT, NETWORK_ISOLATED). Funkcja subprocess.run() jest wywoływana z shell=True i polega wyłącznie na dopasowywaniu wzorców stringów do blokowania niebezpiecznych komend. Lista blokowanych nie zawiera sh ani bash jako samodzielnych plików wykonywalnych, co pozwala na łatwą ucieczkę z sandboksa w trybie STRICT poprzez sh -c '<polecenie>'.

Electron przed wersjami 39.8.1, 40.7.0 i 41.0.0 ma podatność use-after-free w aplikacjach używających renderowania poza ekranem i zezwalających na okna potomne przez window.open(). Zniszczenie nadrzędnego WebContents przy otwartym oknie potomnym może prowadzić do awarii lub uszkodzenia pamięci.