Katalog podatności CVE

W projekcie Kirachon context-engine do wersji 1.9.0 wykryto podatność na wstrzykiwanie poleceń w funkcji execGitCommand w pliku src/mcp/utils/gitUtils.ts w komponencie review-git-diff Endpoint. Manipulacja argumentem args umożliwia wykonanie poleceń. Wersja 1.9.1 zawiera poprawkę.

W bibliotece MZ Automation libiec61850 do wersji 1.6.1 wykryto podatność na przepełnienie bufora na stercie w funkcji MmsMapping_varAccessSpecToObjectReference w pliku src/iec61850/common/iec61850_common.c w komponencie MMS Protocol Workflow. Manipulacja argumentem GetNamedVariableListAttributesResponse.itemId prowadzi do przepełnienia. Atak wymaga dostępu lokalnego, a exploit jest publiczny.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.6 nie ogranicza ścieżki pliku podanej przez użytkownika przed jego odczytaniem i wysłaniem do zewnętrznego serwisu. Umożliwia to użytkownikom z kontem subskrybenta odczyt dowolnych plików z serwera i ich eksfiltrację. Wymaga to włączenia niepublicznej funkcji API; w przeciwnym razie problem osiągalny przez administratora, co w multisite pozwala administratorowi podstrony na odczyt konfiguracji sieci.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.4 nie weryfikuje własności przesłanych plików gości przed ich usunięciem, opierając autoryzację wyłącznie na wartości sesyjnego ciasteczka dostarczonego przez klienta. Nieuwierzytelniony atakujący, który zdobędzie identyfikator sesji ofiary i odniesienie do pliku, może usunąć przesłane pliki ofiary.

Wtyczka Download Monitor dla WordPressa przed wersją 5.2.6 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX dotyczących logowania pobrań i udostępnia nonce chroniące tę akcję nieuwierzytelnionym odwiedzającym. Umożliwia to nieuwierzytelnionym użytkownikom wstrzykiwanie dowolnych wpisów do logu pobrań i zawyżanie statystyk pobrań witryny.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na ujawnienie listy użytkowników witryny oraz nieopublikowanych wpisów należących do innych użytkowników.

Wtyczka WP Directory Kit dla WordPressa przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji ani nonce na jednej z uwierzytelnionych akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybent, na pobieranie zapisanych wiadomości kontaktowych i powiązanych danych użytkowników należących do innych osób.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy produkt do pobrania należy do żądającego sprzedawcy, zanim przyzna uprawnienia do pobierania przez jeden z punktów końcowych REST zamówień. Pozwala to uwierzytelnionemu sprzedawcy na przyznanie swojemu klientowi darmowego dostępu do płatnych plików do pobrania innego sprzedawcy.

Wtyczka WP Statistics dla WordPressa przed wersją 14.16.10 nie przeprowadza kontroli uprawnień na zestawie handlerów AJAX analityki dashboardu, opierając się wyłącznie na nonce, które posiada każdy uwierzytelniony użytkownik. Pozwala to użytkownikom z dostępem na poziomie Subskrybenta i wyższym na ujawnienie danych analitycznych dotyczących odwiedzin witryny.

Wtyczka YMC Filter dla WordPressa przed wersją 3.12.9 nie sanityzuje plików SVG przesyłanych przez jedną z funkcji przesyłania ikon i zezwala na ich przesyłanie użytkownikom z niskimi uprawnieniami. Użytkownicy z rolą Autora i wyższą mogą przesłać plik zawierający JavaScript, który wykonuje się w kontekście strony po jego wyświetleniu.

Wtyczka YMC Filter dla WordPressa przed wersją 3.12.8 nie sanityzuje i nie escapuje ustawienia kreatora układu przed wyświetleniem go w publicznym punkcie końcowym oraz nie weryfikuje własności obiektu podczas zapisywania ustawienia. Użytkownicy z rolą Współautor i wyższą mogą przechowywać JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego dotknięty filtr.

Wtyczka Link Library dla WordPressa przed wersją 7.9.4 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w odpowiedzi, co pozwala nieuwierzytelnionym atakującym przeprowadzać ataki Reflected Cross-Site Scripting na użytkowników, którzy zostaną nakłonieni do wykonania akcji.

Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.

Wtyczka Newsletters dla WordPressa przed wersją 4.16 nie porównuje ściśle klucza uwierzytelniającego API, co pozwala nieuwierzytelnionym atakującym ominąć uwierzytelnianie API przez type juggling i wykonywać uprzywilejowane działania, takie jak modyfikowanie rekordów subskrybentów i wysyłanie e-maili, gdy opcjonalne API jest włączone.

Wtyczka Easy Accordion dla WordPressa jest podatna na trwały atak XSS przez atrybut bloku 'accordionTitleTag' w wersjach do 3.1.8 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego escapowania w funkcji accordion_header_renderer(), która emituje tag dostarczony przez atakującego używając esc_attr() w kontekście nazwy tagu HTML zamiast tag_escape(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Klever-Go, implementacja protokołu blockchain Klever w Go, w wersjach przed 1.7.18 ma podatność na wyczerpanie zasobów w synchronizatorach trie danych konta. Błędy w ścieżkach błędów powodują trwałe zużycie slotów throttlera, co może doprowadzić do zatrzymania synchronizacji i awarii bootstrapu. Poprawka w wersji 1.7.18.

Ruby LSP, implementacja protokołu language server dla Ruby, w rozszerzeniu VS Code przed wersją 0.10.4 ma podatność, która pozwala na nadpisanie ścieżki do executables Ruby, menedżerów wersji lub Gemfile Bundlera. Złośliwe repozytorium z plikiem .vscode/settings.json może ustawić te wartości na cele kontrolowane przez atakującego, co prowadzi do wykonania kodu z uprawnieniami dewelopera. Poprawka w wersji 0.10.4.

XWiki Platform WebJars API, pakiet dla XWiki, w wersjach od 9.6-rc-1 do 16.10.17, 17.4.9 i 17.10.3 ma podatność na path traversal, która pozwala atakującemu z zainstalowanym złośliwym rozszerzeniem WebJar na zapis dowolnych plików. Wymaga to jednak uprawnień administratora w subwiki. Poprawka w wersjach 16.10.17, 17.4.9, 17.10.3 i 18.0.0RC1.

Ghostfolio, oprogramowanie do zarządzania majątkiem, przed wersją 3.4.0 ma podatność w handlerze sukcesu Stripe checkout, który przyznaje subskrypcję Premium bez sprawdzania statusu płatności. Każdy uwierzytelniony użytkownik może samodzielnie przyznać sobie roczną subskrypcję Premium bez płacenia. Poprawka w wersji 3.4.0.

Kata Containers przed wersją 4.0.0 zawiera podatność na obejście autoryzacji w zarządzaniu pamięcią poufnych gości. Dwie metody ttRPC związane z funkcją mem-agent nie sprawdzają polityki AgentPolicy, co pozwala niezaufanemu hostowi na manipulowanie pamięcią gościa, gdy mem-agent jest włączony (domyślnie wyłączony). Atak może prowadzić do degradacji wydajności i dostępności obciążenia, ale nie do ujawnienia pamięci ani wykonania kodu.