Katalog podatności CVE

Podatność na wstrzykiwanie kodu JScript w hMailServer (wersje 6.0.0-6.3.3) umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu JScript w procesie usługi z uprawnieniami konta usługi. Wymaga to niestandardowej konfiguracji: włączonego skryptowania zdarzeń, języka JScript i zdefiniowanego handlera OnClientValidatePassword. Atak wykorzystuje hasło zawierające backslash i apostrof, które nie jest poprawnie escapowane.

Wtyczka PowerPress Podcasting by Blubrry dla WordPressa przed wersją 11.17.2 nie sanityzuje i nie escapuje atrybutu bloku przed wyświetleniem go na stronie, co może pozwolić użytkownikom z rolą współautora i wyższą na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie przeprowadza kontroli uprawnień ani własności w kilku akcjach AJAX, opierając się wyłącznie na nonce, co pozwala użytkownikom, którym administrator przyznał dostęp do funkcji publikowania, na eksport skonfigurowanych poświadczeń kont społecznościowych, usuwanie dowolnych wpisów i resetowanie konfiguracji wtyczki.

Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie neutralizuje prawidłowo wartości skryptu przesłanej przez jeden z jej endpointów REST przed zapisaniem i wyświetleniem jej w nagłówku dokumentu podczas renderowania wpisu, co pozwala użytkownikom z rolą co najmniej autora na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie przeprowadza żadnej kontroli autoryzacji na jednej z akcji AJAX dostępnej dla niezalogowanych użytkowników, co pozwala nieuwierzytelnionym atakującym na wymuszenie utworzenia konta o stałej roli autora oraz na wielokrotną rotację hasła aplikacyjnego na dowolnej podłączonej instalacji.

Wtyczka Malcure Malware Shield — Removal, Repair, Monitor dla WordPressa przed wersją 19.9.7 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX, co pozwala użytkownikom z rolą administratora podsieci w sieci multisite na zapisywanie i usuwanie dowolnych plików we współdzielonym systemie plików sieci, co może prowadzić do zdalnego wykonania kodu.

Wtyczka WP YouTube Lyte dla WordPressa przed wersją 1.7.31 nie escapuje niektórych atrybutów bloków osadzania YouTube przed wyświetleniem ich w atrybucie HTML podczas renderowania bloku, co może pozwolić użytkownikom z rolą co najmniej współautora na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Verge3D Publishing and E-Commerce dla WordPressa do wersji 4.13.0 nie ogranicza dostępu do modułu pobierania plików, co pozwala nieuwierzytelnionym użytkownikom na pobieranie plików cyfrowych dołączonych do dowolnego zamówienia bez autoryzacji.

Wtyczka Mailchimp for WooCommerce przed wersją 6.3 nie wymaga uwierzytelnienia ani weryfikacji własności przy wczytywaniu zapisanego koszyka na podstawie identyfikatora pochodzącego z adresu e-mail klienta. Nieuwierzytelniony atakujący znający adres e-mail klienta może potwierdzić, że klient robi zakupy w sklepie, oraz odczytać zawartość jego zapisanego koszyka.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sanityzuje importowanej treści kanału RSS przed zapisaniem jej jako treści wpisu. Umożliwia to użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sprawdza uprawnień przed pobraniem adresu URL podanego przez użytkownika i wyrenderowaniem odpowiedzi. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym wymuszenie na serwerze żądań do zasobów wyłącznie wewnętrznych oraz odczytanie odpowiedzi.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie weryfikuje, czy użytkownik uruchamiający kampanię kanału ma uprawnienia do publikowania treści lub przypisywania wpisów innemu kontu. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym publikowanie wpisów na żywo oraz ustawienie dowolnego zarejestrowanego użytkownika, w tym administratora, jako autora wpisu.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sprawdza uprawnień ani nie waliduje miejsca docelowego adresu URL kanału podanego przez użytkownika przed pobraniem go po stronie serwera. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym wymuszenie na serwerze żądań do zasobów wyłącznie wewnętrznych oraz odczytanie odpowiedzi.

Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie zapobiega deserializacji niezaufanych danych wejściowych oraz nie ogranicza prawidłowo uprzywilejowanej funkcji konserwacyjnej do administratorów. Umożliwia to użytkownikom posiadającym niestandardową uprawnienie do zarządzania rezerwacjami (które administrator musi jawnie przypisać) wstrzykiwanie dowolnych obiektów PHP, nadpisywanie uprzywilejowanych opcji witryny oraz odczyt przechowywanych sekretów integracji.

Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie weryfikuje, czy rekordy wizyt i płatności żądane przez akcje AJAX dla roli personelu należą do żądającego członka personelu. Umożliwia to uwierzytelnionym atakującym z kontem na poziomie personelu przeglądanie, modyfikowanie i usuwanie wizyt i płatności innych członków personelu, w tym powiązanych danych osobowych klientów.

Wtyczka Download Manager przed wersją 7.5.6 nie sanityzuje ani nie escapuje danych przesyłanych przez formularz subskrypcji pobierania zablokowanego adresem e-mail przed wyświetleniem ich z powrotem na stronie administracyjnej. Może to umożliwić nieuwierzytelnionym atakującym przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom. Dotyczy to wyłącznie komercyjnej edycji Pro; darmowa wtyczka Download Manager przed wersją 7.5.6 opublikowana pod tym samym slugiem nie zawiera tej funkcji.

Wtyczka EmbedPress przed wersją 4.6.7 nie escapuje jednego ze swoich atrybutów bloku przed wyświetleniem go wewnątrz atrybutu HTML. Może to umożliwić użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym wpis.

Wtyczka WebFacing™ przed wersją 5.4 nie ogranicza dostępu do jednego ze swoich dołączonych skryptów oraz nie waliduje ścieżki podanej przez użytkownika przed użyciem jej do dołączenia lokalnego pliku. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzenie ataku Local File Inclusion.

Wtyczka WordPress UpdraftPlus: WP Backup & Migration Plugin w wersjach przed 1.26.8 oraz przed 2.26.8.26 nie sprawdza uprawnień w procedurze, która wyświetla zapisane ustawienia zdalnej pamięci masowej na stronach administracyjnych, gdy witryna znajduje się w określonym stanie po migracji. W efekcie każdy zalogowany użytkownik, nawet o roli subskrybenta, może odczytać dane uwierzytelniające skonfigurowanych miejsc docelowych kopii zapasowych, takie jak hasła i klucze tajne.

Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.