Katalog podatności CVE

@fastify/static to wtyczka Fastify serwująca pliki statyczne z skonfigurowanego katalogu głównego. W wersjach przed 10.1.4 na systemach plików niewrażliwych na wielkość liter (Windows, domyślny macOS) można obejść zabezpieczenie trasy lub ograniczenie allowedPath, zmieniając wielkość liter segmentu ścieżki, ponieważ dopasowanie tras jest wrażliwe na wielkość liter, a system plików nie. W efekcie nieuwierzytelnione żądanie może odczytać plik, który miał być chroniony.

Wtyczka Yo WordPress od wersji 1.1 do 1.3.1 nie sanityzuje ani nie parametryzuje parametru nazwy użytkownika przed użyciem go w zapytaniu SQL, a także odczytuje go przed zastosowaniem escapingu przez WordPressa. Umożliwia to nieuwierzytelnionym atakującym wykonanie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy, w tym hashy haseł administratora.

Wtyczka To Do List Member WordPress od wersji 1.4 do 1.6 udostępnia punkt końcowy przesyłania plików, który nie ładuje WordPressa, więc nie stosuje żadnego uwierzytelniania, sprawdzania uprawnień ani nonce. Waliduje tylko nazwę pliku, a nie jego zawartość, co pozwala nieuwierzytelnionym użytkownikom przechowywać aktywną treść serwowaną z własnej domeny witryny oraz listować i usuwać już umieszczone pliki.

Rozszerzenie rancher-extension-stackstate w SUSE Observability ujawnia tokeny usług w zwykłej konfiguracji lub w niezabezpieczonych lokalizacjach, zamiast zarządzać nimi bezpiecznie. Atakujący z minimalnym dostępem może uzyskać token, aby zdobyć nieautoryzowany dostęp lub podnieść uprawnienia w środowisku obserwowalności.

Wtyczka Event Booking Manager for WooCommerce w wersji przed 5.6.0 nie ogranicza dostępu do przechowywanej konfiguracji bramki płatniczej. Umożliwia to użytkownikom z uprawnieniami na poziomie Contributor i wyższym odczytanie danych uwierzytelniających PayPal i Stripe, w tym kluczy tajnych.

Wtyczka Motors w wersji przed 1.4.121 nie weryfikuje uprawnień do wyświetlania nieopublikowanych ogłoszeń użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczytanie szkiców, ogłoszeń oczekujących i prywatnych ogłoszeń samochodowych dowolnego autora — w tym tytułów, cen, adresów URL multimediów i notatek sprzedawcy — podając jedynie numeryczny identyfikator użytkownika.

Wtyczka Master Addons for Elementor w wersji przed 3.1.9 nie wykonuje kontroli uprawnień w akcji AJAX dezaktywującej popupy Popup Builder. Opiera się wyłącznie na nonce, który jest publicznie wyświetlany każdemu odwiedzającemu, co umożliwia nieuwierzytelnionym atakującym trwałe wyłączenie dowolnego popupu w witrynie.

Wtyczka Realtyna Organic IDX plugin + WPL Real Estate w wersji przed 5.4.2 nie sanityzuje i nie escapuje niektórych parametrów przed odzwierciedleniem ich w stronie. Umożliwia to nieuwierzytelnionym atakującym uruchomienie dowolnych skryptów internetowych w przeglądarce odwiedzającego, jeśli uda im się nakłonić go do kliknięcia spreparowanego linku (reflected XSS).

Wtyczka EWWW Image Optimizer w wersji przed 8.7.7 nieprawidłowo escapuje wartości atrybutów obrazów podczas przepisywania wyjścia strony. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami na poziomie autora i wyższym wstrzyknięcie dowolnego kodu JavaScript, który jest przechowywany w opublikowanej treści i wykonuje się w przeglądarce każdego użytkownika później wyświetlającego zaatakowaną stronę.

Wtyczka Invisible Anti-Spam & CAPTCHA — reCAPTCHA Alternative for All Forms w wersji przed 5.1.1 nie sprawdza uprawnień użytkownika w akcji AJAX usuwania wiadomości i jedynie testuje obecność parametru nonce, nie walidując go. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, trwałe usunięcie wszystkich przesłanych formularzy przechowywanych przez wtyczkę.

Wtyczka Active Woot Products Tables for WooCommerce. 100% FREE w wersji przed 2.1.3 nie posiada kontroli autoryzacji i CSRF w niektórych akcjach AJAX. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmianę tytułu dowolnych wpisów, stron i produktów.

Wtyczka Event Booking Manager for WooCommerce w wersji przed 5.3.8 nie wykonuje kontroli własności ani autoryzacji przed wyświetleniem szczegółów potwierdzenia rezerwacji. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych zarejestrowanych uczestników (imię i nazwisko, adres e-mail, numer telefonu i niestandardowe pola rejestracji) poprzez podanie przewidywalnego numeru referencyjnego rezerwacji. Eksploatacja jest ograniczona do witryn skonfigurowanych do korzystania z natywnego (nie-WooCommerce) procesu płatności, który nie jest domyślny.

Wtyczka Autopay w wersji przed 5.0.1 nie wymusza weryfikacji podpisu w jednym ze swoich callbacków płatności. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie i usunięcie przechowywanych parametrów płatności zamówień innych klientów.

Wtyczka WordPress Paid Membership Subscriptions w wersji przed 3.0.9 nie weryfikuje, czy kwota i waluta zgłoszone przez dostawcę płatności zgadzają się z oczekującą płatnością przed jej sfinalizowaniem. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie płatnego członkostwa poprzez zapłatę dowolnie niższej kwoty.

Wtyczka WordPress PuppyFW do wersji 0.4.4 włącznie nie ma odpowiedniej autoryzacji na jednej ze swoich tras REST, która sprawdza wywołującego względem uprawnienia pobranego z samego żądania. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, dodawanie, modyfikowanie i usuwanie dowolnych opcji bloga, a tym samym eskalację uprawnień.

Wtyczka WordPress wpShopGermany IT-RECHT KANZLEI przed wersją 2.4 nie generuje bezpiecznie swojego tokenu uwierzytelniania API, wyprowadzając go z danych kontrolowanych przez żądającego i tworząc go jako efekt uboczny sprawdzenia, które ma go walidować. Umożliwia to nieuwierzytelnionym atakującym przewidzenie tokenu i wykorzystanie przyznanego dostępu do zapisu dowolnych plików, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress Dictionary do wersji 1.0 włącznie nie ma autoryzacji, sanityzacji ani escapowania przy dodawaniu lub aktualizowaniu wpisów słownika. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik wyświetli dotknięty wpis.

Wtyczka WordPress Comments Import & Export przed wersją 2.5.4 nie ogranicza eksportu komentarzy do użytkowników mogących moderować komentarze, ani nie zawęża eksportu do treści należących do żądającego użytkownika. Umożliwia to użytkownikom z rolą Autora i wyższą pobranie wszystkich komentarzy w witrynie, w tym adresów e-mail komentujących, adresów IP, niezatwierdzonych treści komentarzy i metadanych komentarzy.

Wtyczka WordPress Dewa Kirim do wersji 1.0.0 włącznie nie escapuje współrzędnych dostawy przesłanych przy finalizacji zamówienia przed wyświetleniem ich w skrypcie inline. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie kodu JavaScript, który uruchomi się w sesji administratora, gdy później otworzy on zamówienie.

Wtyczka WordPress Newsletter przed wersją 9.3.8 nie generuje swojego klucza podpisywania śledzenia e-maili z wystarczającą entropią i podpisuje linki śledzące nieszyfrowanym hashem. Umożliwia to nieuwierzytelnionemu atakującemu, który odzyska ten klucz offline, sfałszowanie linków śledzących, uzyskanie tokenu sesji dowolnego subskrybenta oraz odczyt i modyfikację jego przechowywanych danych osobowych.