Katalog podatności CVE

Wtyczka WordPress Quick Event Manager w wersji przed 9.19 nie weryfikuje statusu ani typu żądanego wpisu przed zwróceniem jego szczegółów przez eksport kalendarza. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie treści wersji roboczych i prywatnych wpisów.

Wtyczka WordPress All-in-One Video Gallery w wersji przed 5.0.0 nie sprawdza statusu publikacji filmu przed wyrenderowaniem go na stronie odtwarzacza. Umożliwia to nieuwierzytelnionym użytkownikom wyświetlenie tytułu i adresów źródłowych prywatnych, roboczych, oczekujących, zaplanowanych i usuniętych filmów na podstawie ich identyfikatora.

Wtyczka WordPress Firelight Lightbox w wersji przed 2.3.24 nieprawidłowo escapuje wartości atrybutów obrazów przed przetworzeniem ich w przeglądarce. Może to umożliwić użytkownikom z uprawnieniami współautora i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy inny użytkownik wyświetla lub podgląda dotkniętą treść.

Wtyczka WordPress Premium Packages w wersji przed 7.2.2 nie zapobiega nadpisaniu przez nieuwierzytelnionych odwiedzających zapisanej ceny produktów w koszyku. Umożliwia im tworzenie zamówień na dowolny produkt po dowolnie wybranej cenie.

Wtyczka NextGEN Gallery dla WordPressa w wersjach do 4.5.4 włącznie jest podatna na przechowywany DOM-based XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka WordPress Essential Addons for Elementor w wersjach przed 6.8.8 nieprawidłowo ogranicza możliwość ustawiania roli dla kont tworzonych przez formularz rejestracyjny. Użytkownicy z uprawnieniami na poziomie Author i wyższym mogą spowodować nadanie nowo zarejestrowanym kontom, w tym utworzonym przez niezalogowanych odwiedzających, wyższej roli, np. Editor. Poprawka z wersji 6.6.0 jest niekompletna i można ją obejść, więc wersje od 6.6.0 do 6.8.7 pozostają podatne.

Wtyczka WordPress Payment Forms for Paystack w wersjach przed 4.0.6 nieprawidłowo ogranicza dostęp do strony wyświetlającej zapisaną konfigurację. Użytkownicy z rolą Contributor i wyższą mogą zobaczyć tajne dane API bramki płatności — zarówno klucze produkcyjne, jak i testowe — które dają pełny dostęp do konta płatności właściciela witryny.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów, ponieważ oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wykonanie dowolnych shortcode'ów.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.5 włącznie) jest podatna na wykonanie dowolnego shortcode. Wynika to z braku walidacji wartości przed wywołaniem do_shortcode, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów.

Moduł Field Collection dla Drupal 7 (wersje 7.x-1.0 do 7.x-1.2) ma błąd niewłaściwej autoryzacji. Funkcja field_collection_item_access() przyznaje prawo edycji i usuwania elementów każdemu użytkownikowi z uprawnieniem 'edit field collections', nie sprawdzając dostępu do encji nadrzędnej.

Podatność w bibliotece secp256k1-native (natywna implementacja C dla Ruby) polega na tym, że kompilatory GCC 14.3.0, 15.1.0 i 15.2.0 przy optymalizacji -O2 rekonstruują bezgałęziowe selekcje w instrukcje warunkowe (je/jne), co powoduje wyciek informacji o tajnym skalarze poprzez pomiar czasu. Problem dotyczy ścieżki natywnej, a nie czysto rubinowej.

W bibliotece i18next w wersjach przed 26.3.4 funkcja deepExtend w src/utils.js sprawdza istnienie właściwości operatorem in i rekurencyjnie wchodzi w odziedziczone wbudowane obiekty osiągalne przez Object.prototype. Jeśli aplikacja jawnie przekaże dane zasobów kontrolowane przez atakującego do addResourceBundle z opcjami deep: true i overwrite: true, klucze takie jak hasOwnProperty, toString czy valueOf mogą wybrać współdzielone odziedziczone funkcje wbudowane, a zagnieżdżona wartość może nadpisać właściwość tych obiektów w całym procesie. Przykładowo uczynienie Object.prototype.hasOwnProperty.call niewoływalnym powoduje, że kolejne użycia, w tym wewnętrzne mechanizmy i18next, rzucają TypeError, co prowadzi do nieodwracalnej odmowy usługi i ograniczonego wpływu na integralność.

W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.

W narzędziu Coop w wersjach przed 1.0.0 operacja GraphQL Mutation.createOrg pozwala nieuwierzytelnionemu podmiotowi tworzyć dowolne organizacje na publicznie dostępnej instancji. Poza zaśmiecaniem logów brak ograniczania szybkości może potencjalnie doprowadzić do wyczerpania bazy danych. Uruchomienie usługi w uwierzytelnionej sieci prywatnej uniemożliwia zewnętrznym podmiotom bezpośrednie odpytywanie API GraphQL.

W bibliotece sevenz-rust2 w wersjach przed 0.21.1 rozpakowanie archiwum 7z dostarczonego przez atakującego może zapisywać lub nadpisywać pliki poza katalogiem docelowym. W src/util/decompress.rs funkcja decompress_impl oblicza każdą ścieżkę docelową przez dest.join(entry.name()) bez normalizacji nazwy wpisu UTF-16 ani weryfikacji zawierania, a default_entry_extract_fn zapisuje do niej przez File::create. Komponenty katalogu nadrzędnego pozwalają uciec z katalogu rozpakowywania, a bezwzględna ścieżka wpisu powoduje całkowite odrzucenie katalogu docelowego. Wszystkie wygodne punkty wejścia decompress, decompress_file, decompress_with_password i decompress_file_with_password używają tej domyślnej ścieżki. Nadpisanie zapisywalnych plików konfiguracyjnych, startowych, cron lub build może prowadzić do wykonania kodu lub trwałego utrzymania dostępu.

W politykach Kubewarden w wersjach przed 2.1.2 polityka trusted-repos-policy porównuje nazwę hosta rejestru obrazu z listami odrzuconych i dozwolonych w sposób wrażliwy na wielkość liter, mimo że nazwy DNS rejestrów są niewrażliwe na wielkość liter. Obraz z wielkimi lub mieszanymi literami w nazwie hosta rejestru może ominąć regułę odrzucenia dla równoważnego hosta zapisanego małymi literami, co powoduje, że polityka dopuszcza zasób, którego środowisko uruchomieniowe pobiera ten sam zabroniony obraz.

W serwerze ActivityPub dla Ghost w wersjach od 1.0.0 do 1.2.6 procedura obsługi Undo pozwala zdalnemu serwerowi federacyjnemu spowodować, że usługa działa na obserwacji (follow) lub repostowaniu (repost) tak, jakby aktywność pochodziła z innego konta. Umożliwia to usunięcie istniejącej relacji obserwacji lub repostu należącego do innego konta bez jego udziału.

Aplikacja Element Call w wersji standalone SPA (od 0.16.0 do 0.20.3) zapisuje w logach parametr zapytania URL o nazwie `password`. Gdy użytkownik zgłasza raport błędu (rageshake), logi te są udostępniane operatorowi aplikacji, co może ujawnić współdzielone hasło szyfrujące rozmowę.

W LubeLogger przed wersją 1.6.8 funkcja `PrintRecordStickers` sprawdza uprawnienia do podanego `vehicleId`, ale pobiera rekordy o identyfikatorach `recordIds` bez weryfikacji, czy należą one do autoryzowanego pojazdu. Uwierzytelniony użytkownik może w ten sposób uzyskać rekordy innych użytkowników z wielu modułów serwisu.

W niezałatanych migawkach repozytorium uhttpd funkcja `client_parse_header()` porównuje wartość nagłówka `Transfer-Encoding` z `chunked` z rozróżnianiem wielkości liter, mimo że tokeny kodowania transferu są niewrażliwe na wielkość liter. Mieszana wielkość liter jest akceptowana bez włączenia obsługi chunked, co na połączeniu keep-alive pozwala na przemyt żądań HTTP.