Katalog podatności CVE

Wtyczka BM Content Builder dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 3.17.1 (wyłącznie) poprzez funkcję ux_cb_page_customize_save_layout_ajax(). Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może odczytać dowolne pliki na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Handily dla WordPressa jest podatna na nieautoryzowaną modyfikację ustawień płatności z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.3 włącznie. Nieuwierzytelniony atakujący może zmodyfikować konfigurację Stripe, w tym klucze publiczne, klucze tajne, adresy e-mail, adresy URL sukcesu i anulowania, co może przekierować płatności na konta atakującego.

Wtyczka PixelPlay dla WordPressa jest podatna na nieautoryzowane usunięcie kluczy API z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.2 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne klucze API (Pixabay, Unsplash, Pixels, OpenAI) skonfigurowane przez administratorów witryny za pomocą parametru 'clear_api_type'.

Wtyczka Image Buzz dla WordPressa jest podatna na nieautoryzowaną modyfikację kluczy API z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.3 włącznie. Nieuwierzytelniony atakujący może zmodyfikować dowolne klucze API (Pixabay, Unsplash, Pixels) skonfigurowane przez administratorów witryny za pomocą parametrów 'pixabay_api', 'unsplash_api' lub 'pixels_api'.

W bibliotece Net::IDN::Punycode dla Perla w wersjach przed 2.301 backend XS zawiera przepełnienie bufora sterty w encode_punycode. Niektóre zapisy cyfr i terminatora NUL nie sprawdzają dostępnego miejsca, co prowadzi do zapisu poza bufor.

Ninja Forms 3.15.3 przechowuje anonimową wartość textarea (non-RTE) i renderuje ją bez bezpiecznego kodowania HTML w edytorze zgłoszeń legacy. Atakujący może wydostać się z textarea za pomocą przechowywanego skryptu. Gdy Administrator otworzy znany atakującemu bezpośredni URL zgłoszenia, skrypt uruchomi się w kontekście origin WordPressa admin.

Wtyczka Ninja Forms dla WordPress w wersji 3.15.3 nie escapuje wartości pól formularza przed wyświetleniem ich na ekranie edycji zgłoszenia w panelu administracyjnym. Nieuwierzytelniony użytkownik może przesłać przez publiczny formularz wartości, które następnie wykonają się w przeglądarce uprzywilejowanego użytkownika przeglądającego zgłoszenie.

Wtyczka Ninja Forms dla WordPress w wersji 3.15.3 nie zapobiega deserializacji wartości pól formularza przesyłanych przez użytkownika, gdy administrator eksportuje zgłoszenia do pliku CSV. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataku PHP Object Injection, który przy odpowiednim łańcuchu POP w innej wtyczce lub motywie może prowadzić do operacji na plikach lub zdalnego wykonania kodu.

Wtyczka TranslatePress dla WordPress jest podatna na stored XSS poprzez panel sugestii pamięci tłumaczeń (v-html na suggestion.original) we wszystkich wersjach do 3.3.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty do słownika tłumaczeń, które wykonają się w sesji administratora.

Wtyczka Booking Calendar dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametr 'wpbc_auto_fill' we wszystkich wersjach do 11.8.3 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Text Styler dla WordPressa do wersji 1.1.1 nie sanityzuje i nie escapuje wartości stylów dostarczonych przez użytkownika przed wyświetleniem ich w bloku stylów front-endu oraz nie weryfikuje, czy użytkownik może edytować docelowy post. Umożliwia to użytkownikom z uprawnieniami contributor lub wyższymi zapisanie JavaScriptu, który wykonuje się w przeglądarce każdego, kto wyświetla zaatakowany post, w tym administratorów.

Wtyczka Contextual Related Posts dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr bloku 'other_attributes' we wszystkich wersjach do 4.4.1 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami author lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka CMP – Coming Soon & Maintenance Plugin by NiteoThemes dla WordPress jest podatna na nieautoryzowaną modyfikację danych prowadzącą do eskalacji uprawnień z powodu braku sprawdzenia uprawnień w akcji AJAX 'cmp_ajax_import_settings' we wszystkich wersjach do 4.1.17 włącznie. Uwierzytelniony atakujący z poziomem dostępu Editor lub wyższym może zmieniać dowolne opcje witryny, w tym domyślną rolę rejestracji na administratora.

Wtyczka Give Tributes dla WordPressa w wersjach do 2.3.1 włącznie jest podatna na wstrzyknięcie obiektu PHP poprzez deserializację niezaufanych danych wejściowych. Nieuwierzytelniony atakujący może wstrzyknąć obiekt PHP, jednak podatność ma realny wpływ tylko wtedy, gdy w systemie zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP. Wykorzystanie wymaga włączonej opcji "Allow Multiple Recipients" oraz wyłączonej opcji "Custom Message" w eCard (domyślne ustawienie).

Wtyczka Meta Box AIO dla WordPressa w wersjach do 3.11.0 włącznie pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień do Administratora. Luka wynika z połączenia błędów: funkcja populate_via_query_string() bez kontroli autoryzacji nadpisuje object_id formularza, a Form::process() nie sprawdza uprawnień user_can_edit(), co pozwala nadpisać treść dowolnej strony i wstrzyknąć shortcode [mb_user_profile_register] z dowolną rolą. Dotyczy to również samodzielnych wtyczek Meta Box Frontend Submission (do 4.5.6) i Meta Box User Profile (do 3.11.0).

W urządzeniu Gigatech PDV5701 w wersji 1.0.31_240305_112640 wykryto lukę w nieznanym fragmencie przetwarzania pliku /index.html w komponencie WebSocket Service. Manipulacja prowadzi do braku uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W Yonyou U8cloud 5.x wykryto lukę bezpieczeństwa w nieznanym fragmencie kodu pliku /u8cloud/openapi/so.saleorder.sendaudit w komponencie OpenAPI. Manipulacja argumentem operator prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

W Yonyou KSOA 9.0 wykryto słabość w nieznanej części pliku /cardcase/search_list.jsp. Manipulacja argumentem address prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

Dancer2 w wersjach od 2.1.0 do przed 2.2.0 dla Perla serwuje pliki spoza public_dir przez względne segmenty ścieżki w handlerze trasy File. Handler łączy ścieżkę żądania z public_dir bez usuwania segmentów względnych, co pozwala na dostęp do plików poza katalogiem publicznym. Handler jest domyślnie wyłączony, ale aplikacja jest zagrożona, gdy włączy File w route_handlers i ustawi static_handler na 0.

Dancer2 w wersjach przed 2.2.0 dla Perla nie usuwa znaków CR i LF z nazw nagłówków odpowiedzi w funkcji headers_to_array. Rutynowo usuwa CR i LF z wartości nagłówka, ale nie z nazwy, co pozwala na wstrzyknięcie dodatkowych nagłówków i podział odpowiedzi. Aplikacja musi wyprowadzać nazwę nagłówka z danych żądania.