Katalog podatności CVE

Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.

Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) jest podatna na ujawnienie informacji poprzez podszywanie się. Funkcja is_ai_bot_user() identyfikuje uprzywilejowane konta botów AI na podstawie sprawdzenia prefiksu 'ai-chat-bot-' w adresie IP zapisanym dla rekordu gościa, który jest kopiowany bezpośrednio z nagłówka X-Real-IP kontrolowanego przez klienta. Umożliwia to nieuwierzytelnionym atakującym zarejestrowanie tożsamości gościa traktowanej jako wewnętrzny bot AI, obejście filtrów ról i dołączenie do zastrzeżonych pokoi czatu, publikowanie w nich wiadomości oraz czytanie prywatnej historii wiadomości innych użytkowników.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na odbity cross-site scripting (Reflected XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym trwałe usunięcie dowolnych wpisów WordPressa — w tym stron, kursów, quizów i produktów WooCommerce — poprzez wp_delete_post( $id, true ). Łańcuch exploitacji wymaga najpierw wywołania przepływu przesyłania zdjęcia profilowego, utworzenia tematu Tutor powiązanego z tym załącznikiem, a następnie wywołania procedury usuwania lekcji na docelowym wpisie.

Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.

Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.

Wtyczka Divi Essential dla WordPressa (wersje do 5.8.1 włącznie) jest podatna na ujawnienie wrażliwych informacji poprzez akcje AJAX dnxte_get_database_tables i dnxte_get_database_data. Procedury obsługi jedynie warunkowo weryfikują nonce (sprawdzenie następuje tylko gdy parametr 'nonce' jest obecny i można je łatwo obejść pomijając parametr) i nigdy nie wywołują current_user_can() ani nie egzekwują uprawnień. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wyliczenie wszystkich tabel w bazie danych WordPressa i odczytanie dowolnej liczby wierszy z dowolnej tabeli — w tym wp_users (nazwy użytkowników, e-maile, hasła), wp_usermeta (tokeny sesji, klucze tajne) i wp_options (ustawienia uprzywilejowane, klucze API, poświadczenia innych wtyczek).

Wtyczka SEO Booster dla WordPressa (wersje do 7.4.7 włącznie) jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji handle_oauth_callback() podpiętej do admin_init, która przetwarza $_GET['access_token'] i $_GET['google_email'] bez weryfikacji roli wywołującego. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym nadpisanie opcji seobooster_access_token, seobooster_google_email i seobooster_gsc_sites oraz usunięcie flagi seobooster_needs_reauth poprzez odwiedzenie spreparowanego adresu URL /wp-admin/, zakłócając integrację z Google Search Console i wstrzykując dane wybrane przez atakującego do opcji witryny.

Wtyczka Asset CleanUp: Page Speed Booster dla WordPressa (wersje do 1.4.0.5 włącznie) pozwala na przechowywany cross-site scripting przez treść komentarza z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność występuje tylko, gdy włączono combine_loaded_css.

Wtyczka WP2Social Auto Publish dla WordPressa (wersje do 2.4.12 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez ustawienia administratora z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Dotyczy to wyłącznie instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.

SiYuan do wersji 3.8.4 nie escapuje atrybutów stylu nagłówków podczas renderowania HTML konspektu i zakładek, co pozwala na przechowywany cross-site scripting. Atakujący może dostarczyć spreparowane notatniki lub wywołać endpointy administracyjne, aby wstrzyknąć złośliwe wartości stylu, które wykonają się w rendererze Electron z pełnym dostępem do systemu.

SiYuan do wersji 3.8.4 renderuje nazwy notatników jako surowy HTML w oknie wyboru Daily Note bez escapowania, co pozwala na przechowywany cross-site scripting w rendererze Electron. Atakujący może tworzyć notatniki z ładunkami HTML w nazwach, które wykonają JavaScript z dostępem do Node.js po otwarciu okna wyboru, umożliwiając wykonanie poleceń systemowych.

SiYuan w wersjach do 3.8.4 nie egzekwuje kontroli dostępu do publikacji w punkcie końcowym getDynamicIcon, umożliwiając posiadaczom tokenów tylko do odczytu dostęp do metadanych dokumentów. Atakujący mogą wywołać punkt końcowy z type=8 i spreparowaną treścią, aby odczytać tytuły bloków, nazwy, aliasy i ścieżki hierarchiczne zastrzeżonych dokumentów poprzez wstrzyknięcie szablonu.

Aplikacja chroni dostęp za pomocą hasła w stylu kalkulatora, ale przechowywane dane nie są powiązane z tą granicą uwierzytelniania. Lokalny aktor z dostępem do współdzielonej pamięci zewnętrznej, na przykład przez autoryzowaną powłokę ADB bez uprawnień roota lub inny lokalny kontekst odczytu plików, może skopiować bazę danych SQLite i pliki multimedialne bez wprowadzania hasła do sejfu.

W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlEncrypt w pliku /boafrm/formWlEncrypt. Manipulacja argumentem submit-url pozwala na zdalne wywołanie przepełnienia. Exploit jest publicznie dostępny i może zostać wykorzystany.

W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formWlAc w pliku /boafrm/formWlAc. Manipulacja argumentem submit-url może doprowadzić do przepełnienia bufora. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W konsoli OpenShift wykryto lukę umożliwiającą nieuwierzytelniony dostęp do punktów końcowych /api/devfile/ i /api/devfile/samples/. Zdalny atakujący może wysyłać spreparowane ładunki devfile, co prowadzi do Server-Side Request Forgery (SSRF) oraz, poprzez powtarzane duże żądania bez określonej długości treści, do nieograniczonego wzrostu pamięci i odmowy usługi (DoS).

W Vinyl Cache przed wersją 9.0.2 występuje luka przepełnienia bufora obszaru roboczego w metodach łańcuchowych .upper() i .lower() języka VCL. Może być wykorzystana jako zdalny wektor odmowy usługi (DoS) powodujący segfault lub asercję procesu potomnego, a następnie jego restart.

W urządzeniu Totolink A3002MU (wersja Hh-B20211125.1046) wykryto podatność przepełnienia bufora w funkcji formSchedule w pliku /boafrm/formSchedule. Manipulacja argumentem webpage prowadzi do przepełnienia bufora. Atak jest możliwy zdalnie, a exploit został upubliczniony.