Katalog podatności CVE

Wtyczka SKT Page Builder firmy sonalsinha21 zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 4.9 włącznie.

Wtyczka Fancy Product Designer dla WordPressa jest podatna na atak SSRF we wszystkich wersjach do 6.4.8 włącznie, z powodu wyścigu TOCTOU w parametrze 'url' akcji AJAX fpd_custom_uplod_file. Wtyczka najpierw waliduje URL za pomocą getimagesize(), a następnie pobiera ten sam URL za pomocą file_get_contents(). Umożliwia to nieuwierzytelnionym atakującym wykorzystanie luki czasowej do przeprowadzenia ataków SSRF, serwując prawidłowy obraz podczas walidacji, a następnie zmieniając odpowiedź na przekierowanie do dowolnych wewnętrznych lub zewnętrznych adresów URL podczas rzeczywistego pobierania.

Wtyczka Fancy Product Designer dla WordPressa w wersjach do 6.4.8 włącznie jest podatna na ujawnienie informacji i deserializację PHAR z powodu niewystarczającej walidacji danych wejściowych w parametrze 'url' akcji AJAX 'fpd_custom_uplod_file'. Dane te trafiają bez sanityzacji do funkcji 'getimagesize', co umożliwia nieuwierzytelnionemu atakującemu odczyt dowolnych wrażliwych plików z serwera, w tym wp-config.php.

Wtyczka JetFormBuilder dla WordPressa do wersji 3.5.3 włącznie ma brak sprawdzenia uprawnień w funkcji run_callback, co pozwala nieuwierzytelnionym atakującym na generowanie formularzy za pomocą AI, zużywając limity AI witryny.

HCL DevOps Deploy jest podatny na przesyłanie wrażliwych informacji w postaci jawnego tekstu, ponieważ port HTTP pozostaje dostępny i nie przekierowuje na HTTPS zgodnie z przeznaczeniem. Atakujący z dostępem sieciowym może przechwycić lub zmodyfikować poświadczenia użytkownika i dane sesji poprzez pasywny monitoring lub ataki man-in-the-middle.

Wtyczka Auto Featured Image (Auto Post Thumbnail) dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji bulk_action_generate_handler we wszystkich wersjach do 4.2.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym usuwanie lub generowanie wyróżnionych obrazów na postach, których nie są właścicielami.

Wtyczka Dokan Pro dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API `/dokan/v1/wholesale/register` we wszystkich wersjach do 4.1.3 włącznie. Nieuwierzytelnieni atakujący mogą wyliczać użytkowników i pobierać ich adresy e-mail oraz inne informacje, takie jak nazwy użytkowników, wyświetlane nazwy, role i daty rejestracji, podając identyfikator użytkownika.

Urządzenie CHOCO TEI WATCHER mini (IB-MCT001) zawiera problem z nieprawidłowym sprawdzaniem nietypowych lub wyjątkowych warunków. Gdy funkcja pobierania wideo jest w określonym stanie komunikacji, zasoby produktu mogą być zużywane w sposób nieprawidłowy.

CHOCO TEI WATCHER mini (IB-MCT001) zawiera problem z nieprawidłowym ograniczeniem renderowanych warstw lub ramek UI. Jeśli użytkownik kliknie na zawartość na złośliwej stronie internetowej będąc zalogowanym do produktu, mogą zostać wykonane niezamierzone operacje na produkcie.

W Keycloak wykryto lukę IDOR (naruszenie kontroli dostępu) w punktach końcowych admin API do zarządzania zasobami autoryzacji, konkretnie w ResourceSetService i PermissionTicketService. System sprawdza autoryzację względem identyfikatora resourceServer (klienta) podanego w żądaniu API, ale operacje w bazie danych (findById, delete) używają tylko resourceId. Ta niezgodność pozwala uwierzytelnionemu atakującemu z uprawnieniami administratora dla jednego klienta (np. Client A) usuwać lub modyfikować zasoby należące do innego klienta (Client B) w tym samym realmie, podając prawidłowy identyfikator zasobu.

Wtyczka LearnPress – WordPress LMS Plugin dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji statistic we wszystkich wersjach do 4.3.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie statystyk zamówień wtyczki, w tym podsumowań całkowitych przychodów i liczby statusów zamówień.

W urządzeniu Ningyuanda TC155 w wersji 57.0.2.0 wykryto podatność w nieznanej funkcji pliku /onvif/device_service komponentu ONVIF PTZ Control Interface. Manipulacja prowadzi do nieprawidłowej kontroli dostępu. Atak wymaga obecności w sieci lokalnej, a exploit jest publicznie dostępny.

Podatność w Ningyuanda TC155 57.0.2.0 dotyczy nieznanej funkcji w pliku /onvif/device_service komponentu ONVIF Device Management Service. Manipulacja argumentem FactoryDefault wartością Hard prowadzi do niewłaściwej kontroli dostępu. Atak wymaga dostępu do sieci lokalnej, a exploit został publicznie ujawniony.

W Ningyuanda TC155 57.0.2.0 wykryto podatność w nieznanej funkcji komponentu RTSP Service. Manipulacja danymi prowadzi do odmowy usługi. Atak musi pochodzić z sieci lokalnej, a exploit został publicznie ujawniony i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.

W urządzeniu Ningyuanda TC155 w wersji 57.0.2.0 wykryto podatność w nieznanej funkcji komponentu RTSP Live Video Stream Endpoint. Manipulacja prowadzi do nieprawidłowego uwierzytelniania. Atak musi być przeprowadzony z poziomu sieci lokalnej, a exploit został publicznie ujawniony.

Parse Server przed wersjami 8.6.1 i 9.1.0-alpha.3 ma podatność Reflected Cross-Site Scripting (XSS) w stronach HTML resetowania hasła i weryfikacji e-mail. Łatka dostępna w wersjach 8.6.1 i 9.1.0-alpha.3 escapuje wartości kontrolowane przez użytkownika.

W bibliotekach ALTCHA występuje błąd kryptograficznego wiązania semantycznego, który pozwala na łączenie (splicing) ładunków wyzwań i potencjalnie ataki typu replay. Podpis HMAC nie wiąże jednoznacznie parametrów wyzwania z nonce, co umożliwia atakującemu ponowne wykorzystanie wcześniej rozwiązanych wyzwań po zmianie wartości wygaśnięcia. Luka została naprawiona poprzez wymuszenie wyraźnego rozdzielenia semantycznego parametrów wyzwania i nonce podczas obliczania HMAC.

ChurchCRM to system zarządzania kościołem. W wersjach przed 6.5.0 aplikacja odsyła w odpowiedziach HTTP hasła użytkowników w postaci jawnej. Ujawnienie to znacznie zwiększa ryzyko kompromitacji poświadczeń.

Weblate, narzędzie do lokalizacji oparte na sieci, w wersjach przed 5.15 umożliwiało pobieranie ustawień powiadomień użytkownika lub listy wszystkich użytkowników przez API. Wersja 5.15 naprawia ten problem.

Weblate to narzędzie do lokalizacji oparte na sieci Web. W wersjach przed 5.15 możliwe było wywołanie aktualizacji wielu repozytoriów poprzez spreparowany ładunek webhooka. Wersja 5.15 naprawia ten problem.