Katalog podatności CVE

GroupSession Free edition, byCloud i ZION przed wersją 5.7.1 mają ustawienie "Ograniczenie wyświetlania stron zewnętrznych" na "Nie ograniczaj" w konfiguracji początkowej. Dzięki tej konfiguracji użytkownik może zostać przekierowany na dowolną stronę internetową po otwarciu specjalnie spreparowanego URL-a.

Podatność na SQL Injection istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli zostanie wykorzystana, uwierzytelniony użytkownik może uzyskać lub zmodyfikować informacje przechowywane w bazie danych.

GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2 nie walidują pochodzenia (origin) w WebSockets. Jeśli użytkownik odwiedzi spreparowaną stronę, informacje z czatu wysyłane do użytkownika mogą zostać ujawnione.

W GroupSession, okólnik może być utworzony z polem memo nieedytowalnym, ale kontrola autoryzacji jest nieprawidłowo zaimplementowana. Przy użyciu spreparowanego żądania, zalogowany użytkownik może zmienić pole memo. Dotknięte produkty i wersje to GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2.

Podatność na Cross-site request forgery istnieje w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Jeśli użytkownik odwiedzi złośliwą stronę będąc zalogowanym, mogą zostać wykonane nieautoryzowane operacje.

Podatność na odzwierciedlony atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.

Podatność na trwały atak XSS w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed 5.3.3 oraz GroupSession ZION przed 5.3.2. Jeśli użytkownik odwiedzi spreparowaną stronę lub URL, może zostać wykonany dowolny skrypt w przeglądarce użytkownika.

Podatności na trwałe XSS istnieją w GroupSession Free edition przed wersją 5.3.0, GroupSession byCloud przed wersją 5.3.3 oraz GroupSession ZION przed wersją 5.3.2. Zalogowany użytkownik może przygotować złośliwą stronę lub URL, a dowolny skrypt może zostać wykonany w przeglądarce, gdy inny użytkownik uzyska do niego dostęp.

Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) we wszystkich wersjach do 2.4.4 włącznie. Wtyczka jawnie zezwala na tag `<script>` w konfiguracji `WPJOBPORTAL_ALLOWED_TAGS` i używa niewystarczającej sanityzacji wejścia przy zapisie opisów stanowisk. Uwierzytelnieni atakujący z dostępem na poziomie Editor lub wyższym mogą wstrzykiwać dowolne skrypty do pól opisu stanowiska, które wykonują się przy dostępie do strony. Podatność dotyczy tylko instalacji wielostanowiskowych lub gdy unfiltered_html jest wyłączone.

Wtyczka Wpik WordPress Basic Ajax Form w wersjach do 1.0 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'dname' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Simple Theme Changer dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w akcjach user_theme_admin, display_method_admin i set_change_theme_button_name we wszystkich wersjach do 1.0 włącznie. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może modyfikować ustawienia wtyczki.

Wtyczka WordPress Simple Theme Changer w wersjach do 1.0 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Resource Library for Logged In Users dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.5 włącznie. Brak walidacji nonce w wielu funkcjach administracyjnych umożliwia nieuwierzytelnionym atakującym wykonanie nieautoryzowanych działań, takich jak tworzenie, edytowanie i usuwanie zasobów oraz kategorii, pod warunkiem że nakłonią administratora do kliknięcia w link.

Wtyczka Vimeo SimpleGallery dla WordPress (do wersji 0.2 włącznie) jest podatna na brak autoryzacji. Brakuje sprawdzeń autoryzacji w funkcji `vimeogallery_admin` podpiętej do `admin_menu`, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym na modyfikację ustawień wtyczki przez parametr `action`.

Wtyczka WPMasterToolKit dla WordPressa w wersjach do 2.13.0 włącznie jest podatna na wstrzyknięcie kodu PHP, ponieważ pozwala użytkownikom z poziomem Author tworzyć i wykonywać dowolny kod PHP poprzez funkcję Code Snippets bez odpowiednich kontroli uprawnień. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą wykonać dowolny kod PHP na serwerze, co prowadzi do zdalnego wykonania kodu, eskalacji uprawnień i pełnego przejęcia witryny.

Wtyczka Kirim.Email WooCommerce Integration dla WordPressa do wersji 1.2.9 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce na stronie ustawień wtyczki. Umożliwia to nieuwierzytelnionym atakującym modyfikację poświadczeń API i ustawień integracji poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Wtyczka BMLT WordPress Plugin dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 3.11.4 włącznie. Problem wynika z braku walidacji nonce w akcjach 'BMLTPlugin_create_option' i 'BMLTPlugin_delete_option'. Umożliwia to nieuwierzytelnionym atakującym tworzenie nowych ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Truefy Embed dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 1.1.0 włącznie. Problem wynika z braku walidacji nonce w akcji aktualizacji ustawień 'truefy_embed_options_update'. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki, w tym klucza API, poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Upcoming for Calendly dla WordPressa do wersji 1.2.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji aktualizacji ustawień. Umożliwia to nieuwierzytelnionym atakującym aktualizację klucza API Calendly wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Wtyczka Coding Blocks dla WordPressa do wersji 1.1.0 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji aktualizacji ustawień. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki, w tym konfiguracji motywu, poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.