Katalog podatności CVE

Wtyczka Link Library dla WordPressa w wersjach przed 7.9.6 nie sanityzuje ani nie escapuje pola linku przed wyświetleniem go w atrybucie podglądu linku, co pozwala użytkownikom z rolą Contributor i wyższą na ataki Stored Cross-Site Scripting. Podgląd jest generowany bez uwierzytelnienia i bez sprawdzania, czy link został opublikowany, więc niezatwierdzone zgłoszenie wystarczy, aby dotrzeć do każdego odwiedzającego, który je otworzy.

WordPress Core (wszystkie wersje do 7.0.2 włącznie) jest podatny na przechowywany Cross-Site Scripting poprzez funkcję Quick Edit z powodu niewystarczającego escapowania nazw wyświetlanych użytkowników. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy wyżej uprawniony użytkownik otworzy odpowiednie ekrany administracyjne. Problem dotyczy wyłącznie witryn z dużą liczbą użytkowników.

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.5.8 nie weryfikuje, czy użytkownik jest uprawniony do działania na docelowym załączniku multimedialnym. Uwierzytelnieni użytkownicy z rolą autora i wyższą mogą usuwać dowolne załączniki, w tym przesłane przez innych użytkowników i administratorów.

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) w wersjach przed 6.5.8 nie sanityzuje ani nie escapuje nazw kolekcji i galerii przed ich zapisaniem i wyświetleniem w panelu administracyjnym. Pozwala to uwierzytelnionym użytkownikom z rolą autora i wyższą przeprowadzać ataki Stored Cross-Site Scripting.

Wtyczka WordPress MB Custom Post Types & Custom Taxonomies przed wersją 2.12.3 nie wykonuje żadnego sprawdzenia uprawnień ani uwierzytelnienia przed zezwoleniem nieuwierzytelnionemu żądaniu na ponowne uruchomienie starszej migracji danych. Pozwala to każdemu przywrócić definicję niestandardowego typu posta lub taksonomii na stronach zaktualizowanych z wersji przed 2.0 do stanu sprzed aktualizacji.

Wtyczka WordPress WP Ultimate Review przed wersją 2.4.5 nie neutralizuje shortcode'ów we wszystkich polach recenzji przesyłanych przez publiczny formularz recenzji dostępny dla nieuwierzytelnionych odwiedzających. Umożliwia to wykonanie dowolnych shortcode'ów podczas wyświetlania danego pola, o ile recenzje użytkowników i wyświetlanie tego pola są włączone.

Wtyczka WordPress FluentCart przed wersją 2.2.0 nie weryfikuje, czy zapisany adres klienta wybrany podczas finalizacji zamówienia należy do osoby składającej zamówienie. Pozwala to nieuwierzytelnionym atakującym przypisać dowolny zapisany adres klienta do składanego zamówienia i odczytać go, ujawniając adresy pocztowe, numery telefonów i dane firmowe klientów.

Aplikacja NT OneAPP firmy NewType Infortech zawiera podatność polegającą na ujawnieniu poufnych informacji. Nieuwierzytelniony lokalny atakujący może wyodrębnić nazwy użytkowników i hasła w postaci jawnej z danych kopii zapasowej po uzyskaniu autoryzacji dostępu do kopii ADB i potwierdzeniu kopii przez użytkownika.

Aplikacja NT OneAPP firmy NewType Infortech zawiera podatność umożliwiającą obejście uwierzytelniania. Nieuwierzytelniony lokalny atakujący może ominąć mechanizm blokady PIN aplikacji za pomocą Deep Linku i uzyskać dostęp do chronionych zasobów zalogowanego użytkownika.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowego uwierzytelniania w instalacjach wielohostowych. Gdy użytkownik loguje się adresem aliasowym, rcube_user::query() dopasowywał adres do rekordów tożsamości bez kwalifikowania wyszukiwania hostem IMAP, więc logowanie mogło zostać rozwiązane do konta użytkownika należącego do innego hosta IMAP.

Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 jest dotknięty podatnością niekontrolowanego zużycia zasobów w proxy CSS (akcja utils/modcss). Pobierany arkusz stylów był wczytywany do pamięci w całości, bez limitu rozmiaru i limitu czasu odczytu, co pozwalało wyczerpać pamięć serwera.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na obejście blokowania zdalnych treści. rcube_washtml sprawdzał atrybuty animacji SVG SMIL `to`, `from` i wartości URI, ale nie `by`; w rezultacie znaczniki w wiadomości HTML powodowały ładowanie zdalnych treści bez zgody użytkownika, ujawniając adres IP klienta i potwierdzając otwarcie wiadomości. Poprawka została wprowadzona w commicie „Fix remote-content blocker bypass via SVG SMIL `by` attribute”.

Moduł Drupal Webform zawiera podatność typu Incorrect Authorization umożliwiającą Forceful Browsing. Problem dotyczy wersji od 0.0.0 do 6.2.12 oraz od 6.3.0 do 6.3.1.

Podatność polegająca na braku autoryzacji w module Drupal Webform REST pozwala na wymuszone przeglądanie (Forceful Browsing). Dotyczy wersji od 0.0.0 do 4.2.1.

Moduł Drupal Editoria11y Accessibility Checker zawiera podatność typu Privilege Defined With Unsafe Actions, która pozwala na eskalację uprawnień. Problem dotyczy wersji od 0.0.0 do 2.2.23 oraz od 3.0.0 do 3.0.9.

Moduł Drupal Tawk.to - Live chat application zawiera podatność Cross-Site Request Forgery (CSRF), która może pozwolić na wykonanie niepożądanych akcji w imieniu zalogowanego użytkownika. Problem dotyczy wersji od 0.0.0 do 3.0.4.

Moduł Drupal Smart Content zawiera podatność typu Missing Authorization umożliwiającą Forceful Browsing. Problem dotyczy wersji od 0.0.0 do 3.2.1.

Moduł Drupal REST & JSON API Authentication zawiera podatność typu Authentication Bypass Using an Alternate Path or Channel, umożliwiającą obejście uwierzytelniania. Problem dotyczy wersji od 0.0.0 do 3.2.0.

W module Drupal Diba carousel slider (wersje 0.0.0–3.0.2) występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, prowadząca do przechowywanego XSS. Luka pozwala na wstrzyknięcie złośliwego skryptu, który jest przechowywany i wykonywany u innych użytkowników.

Moduł Drupal CSS Usage Analyzer zawiera podatność Missing Authorization, która umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 1.0.0 do 1.0.2.