Katalog podatności CVE

Wtyczka WordPress MPCX Lightbox w wersjach od 1.2.2 do 1.2.5 nie stosuje żadnej autoryzacji ani uwierzytelniania w jednej z akcji AJAX dostępnej dla niezalogowanych użytkowników, ani nie sprawdza statusu żądanego wpisu. Umożliwia to niezalogowanym odwiedzającym pobranie tytułu, treści lub zajawki dowolnych wpisów, w tym prywatnych, szkiców, oczekujących, usuniętych i chronionych hasłem.

Podatność typu out-of-bounds read podczas parsowania niezaufanych ciągów ścieżek SVG w Qt Quick w komponentach Context2D.path / PathSvg.path. Nieprawidłowe dane wejściowe mogą powodować odczyt poza granicami bufora.

Wtyczka WordPress NP Quote Request for WooCommerce w wersji przed 2.4.16 nie weryfikuje właściciela zamówienia przed wyświetleniem jego szczegółów. Umożliwia to niezalogowanym atakującym przeglądanie zamówień innych klientów przy użyciu klucza zamówienia.

Wtyczka WordPress WC Fields Factory w wersji przed 4.1.11 nie ogranicza prawidłowo dostępu do akcji klonowania wpisów ani nie weryfikuje dla niej nonce. Umożliwia to użytkownikom z poziomem Contributor i wyższym duplikowanie dowolnych wpisów każdego typu i statusu, w tym prywatnych i szkiców innych użytkowników, oraz uzyskanie dostępu do odczytu powstałej kopii.

Wtyczka WordPress Event Booking Manager for WooCommerce w wersji przed 5.7.3 nie ogranicza zapytania o listę wydarzeń do tych, które żądający użytkownik ma prawo odczytać. Umożliwia to użytkownikom z poziomem Contributor i wyższym pobranie prywatnych, roboczych i usuniętych wydarzeń innych autorów wraz ze szczegółami, które standardowa lista nie pokazuje.

Wtyczka WordPress Paid Membership Subscriptions w wersji przed 3.1.0 nie wiąże jednej ze swoich niezalogowanych akcji płatniczych z żądającym użytkownikiem. Umożliwia to osobie posiadającej identyfikator płatności innego członka w trakcie realizacji usunięcie stanu jego kasy.

Wtyczka WordPress Forminator Forms w wersji przed 1.57.2.1 nie wiąże powiadomienia o zapisanym szkicu z odwiedzającym, który go utworzył, i pobiera zarówno adres odbiorcy, jak i link w wiadomości z żądania. Umożliwia to niezalogowanym odwiedzającym wysłanie wiadomości z konfiguracji pocztowej witryny na dowolny adres z linkiem według własnego wyboru. Token autoryzujący wysyłkę jest przekazywany anonimowemu wywołującemu przez samą wtyczkę i może być odtwarzany bez ograniczeń.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.2.1 nie wykonuje sprawdzenia nonce, uprawnień ani własności przed uruchomieniem jednorazowej migracji pól płatności podczas budowy jednego z ekranów administracyjnych. Ta konstrukcja ma miejsce przy każdym żądaniu wp-admin dla każdego zalogowanego użytkownika. Każdy uwierzytelniony użytkownik, w tym Subscriber bez uprawnień, może nadpisać zapisaną konfigurację pól dowolnego formularza, w tym aktywnego formularza płatności.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie wykonuje kontroli uprawnień per obiekt na jednej rodzinie swoich tras REST do zapisu. Umożliwia to użytkownikom z niskimi uprawnieniami, takim jak contributor, modyfikowanie, publikowanie, przenoszenie do kosza i przejmowanie rekordów należących do innych użytkowników, w tym administratorów.

Wtyczka Events Calendar dla WordPressa przed wersją 6.17.5 nie sprawdza uprawnień wymaganych do publikowania treści przed utworzeniem lub aktualizacją przez REST API. Umożliwia to użytkownikom z rolą, która normalnie nie może publikować, takim jak contributor, publikowanie treści bezpośrednio i ominięcie przeglądu redakcyjnego.

Odkryto błąd bezpieczeństwa w JusticeRage Manalyze 1.0.0. Dotyczy funkcji PE::_parse_relocations w pliku manape/pe.cpp komponentu PE Parser. Manipulacja argumentem BlockSize prowadzi do niedomiaru liczby całkowitej (integer underflow). Atak wymaga lokalnego dostępu. Zalecane jest zastosowanie poprawki o nazwie c372b6bbca9d8c63812be50596fefa4a79c65fd0.

IBM Financial Transaction Manager (FTM) dla RedHat OpenShift może umożliwić zdalnemu atakującemu uzyskanie wrażliwych informacji z powodu niewłaściwego egzekwowania wzajemnego uwierzytelniania TLS.

Unleash to platforma zarządzania funkcjami open-source. Przed wersją 8.0.3 szablon e-maila zatwierdzania zmian (requested-cr-approval.html.mustache) renderuje wartości changeRequestTitle, requesterName i requesterEmail bez escapowania HTML, a funkcja sendRequestedCRApprovalEmail przekazuje te wartości do renderowania Mustache. Członek projektu, który może utworzyć prośbę o zmianę, gdy e-maile zatwierdzające są włączone, może wstrzyknąć HTML do powiadomienia zatwierdzającego, umożliwiając sfałszowane linki, treści śledzące lub wizualnie zmienioną treść e-maila. Problem naprawiono w wersji 8.0.3.

wlc to klient wiersza poleceń dla Weblate korzystający z API REST. Przed wersją 2.0.1 automatycznie wykrywana konfiguracja z plików .weblate, .weblate.ini lub weblate.ini może wybrać adres URL API, podczas gdy token API bez zakresu jest dostarczany przez WLC_KEY lub --key bez pasującego WLC_URL lub --url. Gdy wlc działa w niezaufanym repozytorium, przy sprawdzaniu pull request lub w katalogu z niezaufaną konfiguracją przodków, może wysłać token do adresu URL kontrolowanego przez atakującego. Klucze z zakresem URL w [keys] nie są dotknięte. Problem naprawiono w wersji 2.0.1.

Podatność w Changedetection.io do wersji 0.55.8. Dotyczy funkcji setCurrentSelectedText w pliku changedetectionio/static/js/visual-selector.js komponentu Visual Selector. Manipulacja argumentem s może prowadzić do cross site scripting (XSS). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 0.60.1 rozwiązuje problem. Poprawka nosi nazwę aac6fcfa594f17511b8ff73e5eaa4f6c33899de0.

Przepełnienie bufora stosu w dynamicznym loaderze (ld.so) biblioteki GNU C (glibc) w wersjach od 2.14 do 2.44 pozwala lokalnemu atakującemu na awarię lub uszkodzenie pamięci programów setuid/setgid (AT_SECURE). Gdy DT_RPATH lub DT_RUNPATH takiego programu zaczyna się od $ORIGIN i jest następowane przez NUL lub '/', loader zarówno odczytuje poza bufor ścieżki, jak i zapisuje poza wewnętrzny bufor stosu. Uszkodzony stos loadera może prowadzić do awarii (odmowa usługi) i ograniczonego ujawnienia pamięci procesu.

Dark Reader przed wersją 4.9.126 (dla Firefoksa) lub 4.9.128 (dla innych przeglądarek) umożliwia stronie internetowej wywołanie żądania do lokalnie uruchomionego serwera przez potok inwersji obrazów, gdy zasób używa znanego publicznego URL HTTPS i wymaga inwersji. Może to naruszyć granicę między stroną a siecią lokalną i ujawnić ograniczone informacje o zasobie.

hexpm (hex.pm) ma podatność na niewystarczające wygasanie sesji w tokenach OAuth. Użytkownik, którego członkostwo w organizacji lub sesja dobiegła końca, może nadal czytać prywatne pakiety organizacji i dokumentację dzięki zachowanemu tokenowi odświeżającemu. Dostęp jest tylko do odczytu i ograniczony do organizacji, do których konto należało w momencie przyznania tokenu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze plików Mach-O (LC_DATA_IN_CODE), który ufa wartościom dataoff i datasize, co może prowadzić do odczytu poza buforem (heap out-of-bounds read) przy przetwarzaniu specjalnie spreparowanego pliku. Atak wymaga włączenia opcji bin.verbose. Może to spowodować zakończenie procesu, ale nie wykazano ujawnienia pamięci.

radare2 przed wersją 6.2.0 zawiera podatność w parserze bytecode Lua 5.3, który odczytuje pola metadanych bez sprawdzania długości bufora. Przy otwarciu spreparowanego pliku z łańcuchem nazwy funkcji kończącym się na granicy bufora, parser czyta poza przydzieloną pamięć, co może powodować błędne wyniki lub zakończenie procesu.