Katalog podatności CVE

Wtyczka Bookly dla WordPressa (wersje do 28.2 włącznie) jest podatna na obejście autoryzacji poprzez manipulację typami PHP. Z powodu użycia luźnego operatora nierówności w funkcji weryfikującej kod jednorazowy oraz braku ochrony CSRF i uwierzytelnienia w kontrolerze AJAX, nieuwierzytelniony atakujący może obejść weryfikację własności telefonu/e-mail i nadpisać dane dowolnego klienta Bookly.

Wtyczka Gutenverse dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut 'suffixMain' bloku komentarzy. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych uwierzytelniony atakujący z uprawnieniami współpracownika może wstrzyknąć złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka JetFormBuilder dla WordPressa (wersje do 3.6.5.3 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'jfb_xss' w zmiennej zapytania URL. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.

Wtyczka Customer Reviews for WooCommerce dla WordPressa (do wersji 5.120.0 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Umożliwia to nieuwierzytelnionym atakującym trwałe usuwanie dowolnych załączników z Biblioteki mediów (w tym obrazów produktów, logotypów i dokumentów administratora) poprzez wstrzyknięcie ich identyfikatorów do recenzji, która następnie zostaje przeniesiona do kosza i usunięta. Wykorzystanie wymaga publicznego linku do formularza recenzji (13-znakowy formId), który ujawnia nonce potrzebny do wywołania akcji bez konta WordPress.

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'productTitle' w metadanych pozycji zamówienia '_fpd_data'. Akcja AJAX fpd_save_order jest dostępna dla niezalogowanych użytkowników bez weryfikacji nonce i uprawnień, a zastosowana sanityzacja strip_tags() jest omijana przez sekwencje ucieczki Unicode w JSON, które json_decode() zamienia z powrotem na nawiasy kątowe podczas wyświetlania zamówienia w panelu administratora.

Wtyczka Fancy Product Designer dla WordPressa (wersje do 6.5.2 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'output_format' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Atakujący niezalogowany może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to włączonej funkcji Pro Export/Genius, ponieważ podatna akcja AJAX fpd_pr_export jest rejestrowana tylko wtedy, gdy ta funkcja jest aktywna.

Wtyczka AMP for WP – Accelerated Mobile Pages dla WordPressa (wersje do 1.1.16 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez treść komentarza w transformacji regex z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Niezalogowany atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Złośliwy ładunek wykorzystuje tylko dozwolone tagi i atrybuty komentarzy WordPressa (anchor z href i title), a pipeline sanityzacji AMP nie blokuje protokołu javascript:, więc ani filtr zapisu komentarzy, ani etap wyjściowy AMP nie usuwają złośliwego URI wprowadzonego przez transformację.

Wtyczka WordPress Link Library przed wersją 7.9.6 nie waliduje miejsca docelowego adresu URL podanego przez użytkownika, zanim nastąpi powrót do niezabezpieczonego pobrania, gdy bezpieczne żądanie zostanie odrzucone. Umożliwia to nieuwierzytelnionym odwiedzającym zmuszenie witryny do wysyłania żądań do hostów w sieci wewnętrznej i ustalenie na podstawie odpowiedzi, czy wewnętrzna usługa odpowiedziała.

Wtyczka WordPress Link Library przed wersją 7.9.6 nie sanityzuje folderu docelowego podanego przez użytkownika przed zapisem wygenerowanego obrazu na dysku. Pozwala to użytkownikom z rolą Contributor i wyższą tworzyć katalogi oraz zapisywać lub nadpisywać pliki obrazów wszędzie tam, gdzie serwer WWW może pisać, w tym poza katalogiem głównym witryny.

Wtyczka WordPress Link Library przed wersją 7.9.6 nie escapuje prawidłowo niektórych parametrów przed wyświetleniem ich w adresach generowanych linków na stronach katalogu front-end. Prowadzi to do odbitego cross-site scripting (Reflected XSS), który może być wykorzystany przeciwko dowolnemu odwiedzającemu, w tym zalogowanym administratorom.

Aplikacja mobilna Tohoku Electric Power "Yorisou e Net" wykorzystuje zaszyty na stałe klucz kryptograficzny. Może to pozwolić atakującemu na odzyskanie tego klucza z podatnego produktu.

Wtyczka Elementor Website Builder jest podatna na atak Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji od n/a do 4.3.1 włącznie.

Wtyczka OpenStation dla WordPressa (wersje do 1.1.7 włącznie) jest podatna na obejście autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień użytkownika uwierzytelniony atakujący z niestandardowymi uprawnieniami może odczytać tytuł, status, datę, permalink i 300-znakowy fragment treści dowolnego prywatnego, roboczego, oczekującego lub przyszłego posta, a także treść i werdykty moderacji AI niezatwierdzonych i spamowych komentarzy.

Wtyczka Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code dla WordPressa (do wersji 4.8.6 włącznie) jest podatna na eskalację uprawnień z powodu braku egzekwowania uprawnień na publicznie dostępnej trasie REST `POST /wp-json/wawp/v1/signup/<op>` oraz braku listy dozwolonych kluczy w funkcji `finish_registration_logic`. Parametr `wawp_custom_fields` kontrolowany przez atakującego jest kopiowany bezpośrednio do `update_user_meta()`, co pozwala na ustawienie kluczy takich jak `wp_capabilities` i `wp_user_level`. Umożliwia to nieuwierzytelnionym atakującym rejestrację konta z rolą administratora i uzyskanie pełnego dostępu administracyjnego. Gdy weryfikacja OTP jest włączona, token sesji OTP jest zwracany w postaci jawnej w odpowiedzi HTTP, a handler `handle_magic_link_request()` oznacza token jako zweryfikowany na każde nieuwierzytelnione żądanie GET zawierające go, bez sprawdzania kodu OTP, co czyni krok OTP trywialnie pomijalnym.

W systemie Sanluan PublicCMS do wersji 6.202506.e wykryto słabość w funkcji CmsContentAdminController w pliku SysUserAdminController.java, w komponencie exportExcel/exportData. Manipulacja argumentami userId/deptId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach.

W phpIPAM do wersji 1.8.3 występuje nieprawidłowa autoryzacja dla wartości id równej "admins" oraz "all" w pliku api/controllers/User.php. Błąd pozwala na dostęp do funkcji, które powinny być ograniczone do uprawnionych użytkowników.

Podatność w django-allauth przed wersją 65.19.4 polega na braku oczekiwanych limitów nieudanych prób logowania, ponieważ w niektórych typowych konfiguracjach atakujący może wykorzystać obsługę znaków diakrytycznych (np. akcentów) do uzyskania wyższego efektywnego limitu. Umożliwia to obejście mechanizmów ograniczania prób logowania.

W Wakapi przed wersją 2.17.6 usługa buforowania użytkowników pozwala na rozwiązanie wyszukiwania w nieoczekiwanym kontekście, co prowadzi do przejęcia konta. Luka umożliwia atakującemu uzyskanie kontroli nad kontem innego użytkownika.

tinyauth przed wersją 5.1.3 pozwala na obejście reguł poprzez dołączenie ciągu dozwolonej trasy. Przyczyną jest niezabezpieczone wyrażenie regularne (brak zakotwiczenia).

W ITFlow przed wersją 26.08 parser wiadomości e-mail zgłoszeń (cron/ticket_email_parser.php) zezwala na załączniki SVG w wiadomościach, które mogą przychodzić przez SMTP od dowolnych nadawców. Może to umożliwić przetwarzanie niebezpiecznych plików SVG.