Katalog podatności CVE

Punkt końcowy playlistsFromUser.json.php w WWBN AVideo zawiera lukę braku autoryzacji. Nieuwierzytelnieni atakujący mogą odczytać prywatne playlisty innych użytkowników, podając ich identyfikator, w tym playlisty Ulubione i Do obejrzenia, z powodu nieprawidłowego kluczowania pamięci podręcznej.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 zawiera podatność braku autoryzacji w pliku plugin/Scheduler/sendEmail.json.php, która pozwala nieuwierzytelnionym atakującym na dostęp do zadań e-mail schedulera poprzez podanie ogólnodostępnego dziennego tokenu. Atakujący mogą wyliczać zadania schedulera, odczytywać prywatne tytuły transmisji na żywo oraz adresy e-mail, a także wywoływać wysyłkę wiadomości e-mail, dostarczając dowolny ważny dzienny token uzyskany ze stron Live.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie autoryzuje dostępu do endpointu API adsInfo. Nieuwierzytelniony atakujący może wywołać adsInfo z parametrem videos_id i uzyskać identyfikator właściciela chronionego hasłem wideo oraz spersonalizowane adresy URL kreacji reklamowych bez żadnych sprawdzeń uprawnień.

Flowise w wersjach przed 3.1.4 zawiera nieuwierzytelnioną podatność typu denial of service w endpoincie /api/v1/text-to-speech/abort, który przyjmuje parametry chatflowId i chatId bez weryfikacji właściciela. Atakujący może zakończyć aktywne predykcje chatflow dowolnego użytkownika, podając znane identyfikatory chatflow i chat.

Flowise w wersjach do 3.1.3 włącznie udostępnia endpoint POST /api/v1/node-load-method/:name bez sprawdzania uprawnień na poziomie trasy, wywołując loadMethods z parametrami nodeName, loadMethod, inputs i credential kontrolowanymi przez atakującego. Poświadczenie jest rozwiązywane po surowym Credential.id przez getCredentialData() i odszyfrowywane bez weryfikacji Credential.workspaceId względem aktywnego lub współdzielonego workspace wywołującego. Uwierzytelniony użytkownik o niskich uprawnieniach (lub klucz API workspace) z jednego workspace może podać identyfikator poświadczenia należącego do innego workspace, powodując że Flowise działa jako confused deputy i wykonuje wywołania do zewnętrznych dostawców z poświadczeniem ofiary, zwracając metadane dostawcy atakującemu. Dotyczy to m.in. Google Drive listFiles, Google Sheets listSpreadsheets i AWS DynamoDB KV Storage listTables. Sam sekret poświadczenia nie jest zwracany atakującemu. Podatność naprawiono w wersji 3.1.4.

Flowise przed 3.1.4 zawiera podatność typu broken access control w GET /api/v1/organizationuser, która pozwala każdemu uwierzytelnionemu członkowi organizacji pobrać pełny rekord użytkownika będącego właścicielem organizacji, w tym hash hasła bcrypt i tokeny tymczasowe. Atakujący może odpytać endpoint z dowolnym identyfikatorem użytkownika, aby uzyskać hash poświadczeń właściciela do złamania offline.

Wtyczka MemberPress Corporate Accounts dla WordPressa jest podatna na eskalację uprawnień w wersjach do 1.5.39 włącznie. Wynika to z podatności mass assignment w funkcji 'add_sub_account_user', która przekazuje surową tablicę 'userdata' do 'wp_insert_user' bez filtrowania niebezpiecznych kluczy, takich jak role lub ID. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi, posiadającym konto korporacyjne, tworzenie nowych kont administratora lub przejęcie istniejących kont administratora poprzez nadpisanie ich adresów e-mail. Podatność została częściowo załatana w wersji 1.5.39.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa w wersjach do 2.4.9 włącznie jest podatna na Stored Cross-Site Scripting poprzez wiele widgetów Elementora. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru 'load_manually' w metodach render() klas. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi, mogący korzystać z Elementora, może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

MCPHub w wersjach przed 1.0.32 zawiera podatność obejścia uwierzytelniania w wbudowanym serwerze autoryzacji OAuth 2.0, w którym uwierzytelnianie klienta jest domyślnie wyłączone, a wymuszanie PKCE jest opcjonalne. Atakujący, który przechwyci kod autoryzacji, może wymienić go na tokeny dostępu bez podawania sekretu klienta lub weryfikatora PKCE, uzyskując dostęp do kont ofiar i ich uprawnień.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia liczby całkowitej w MessageUnpacker.skipValue() podczas przetwarzania kontenerów MAP32 z dużą liczbą elementów. Atakujący może podać liczbę elementów MAP32 równą lub większą niż 0x40000000, która przy podwojeniu ulega zawinięciu, powodując desynchronizację kursora parsera i zwrócenie danych kontrolowanych przez atakującego w miejsce późniejszych pól.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia stosu w MessageUnpacker.unpackValue(), która rekurencyjnie deserializuje tablice i mapy bez ograniczeń głębokości zagnieżdżenia. Atakujący może przygotować ładunki z głęboko zagnieżdżonymi tablicami, aby wyczerpać stos wątku deserializującego i wywołać StackOverflowError, powodując błędy deserializacji dla poszczególnych żądań.

Podatność niewłaściwej ochrony fizycznych kanałów bocznych w Microchip AN1044, Microchip AN953 i Microchip SW300052. Problem dotyczy AN1044 do wersji A, AN953 do wersji A oraz SW300052 do wersji 2.6.

Wtyczka GEO my WP dla WordPressa w wersjach do 4.5.5.3 włącznie jest podatna na lokalne włączenie plików (LFI) poprzez funkcję gmw_posts_locator_ajax_info_window_loader. Umożliwia to nieuwierzytelnionemu atakującemu włączenie i wykonanie dowolnych plików .php na serwerze, co może posłużyć do obejścia kontroli dostępu, uzyskania poufnych danych lub wykonania kodu. W środowiskach z zainstalowanym PEAR i włączonym register_argc_argv podatność może zostać wykorzystana do zapisu i wykonania dowolnego kodu PHP, prowadząc do pełnego zdalnego wykonania kodu.

Wtyczka MPG – Multiple Page Generator, Bulk Landing Pages & Programmatic SEO dla WordPressa w wersjach do 4.2.1 włącznie jest podatna na ogólną iniekcję SQL poprzez ścieżkę URL z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionemu atakującemu z poziomem subskrybenta i wyższym dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana tylko wtedy, gdy shortcode [mpg_spintax] jest renderowany w treści obejmującej całą witrynę, takiej jak stopka lub część szablonu.

Wtyczka Tutor LMS do WordPressa (wersje do 4.0.7 włącznie) jest podatna na wstrzyknięcie obiektu PHP poprzez parametr `withdraw_method_field` w handlerze AJAX `tutor_save_withdraw_account`. Handler nie sprawdza uprawnień ani roli, opierając się wyłącznie na nonce, a dodatkowo przetwarza dane przez `esc_sql()`, co prowadzi do niezgodności długości w serializowanych danych i umożliwia wstrzyknięcie dowolnego strumienia serializowanego obiektu. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może osiągnąć zdalne wykonanie kodu poprzez łańcuch POP `GuzzleHttp\Cookie\FileCookieJar`, a przy włączonej rejestracji użytkowników istnieje ścieżka nieuwierzytelniona.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.

Wtyczka Smart Marketing SMS and Newsletters Forms dla WordPressa jest podatna na wstrzyknięcie SQL (SQL Injection) poprzez nazwę parametru we wszystkich wersjach do 5.1.24 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączać dodatkowe zapytania SQL do istniejących zapytań i wyciągać poufne dane z bazy danych. Wykorzystanie wymaga włączonej funkcji synchronizacji wtyczki oraz niepustej opcji egoi_mapping.

Wtyczka Royal Addons for Elementor – Addons and Templates Kit for Elementor dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.7.1066 włącznie poprzez parametr 'wpr_keyword'. Nieuwierzytelniony atakujący może wyciągać dowolne wartości postmeta ze wszystkich opublikowanych wpisów, dopasowując znak po znaku w całej tabeli wp_postmeta. Wymagany nonce jest publicznie emitowany przez wp_localize_script na każdej stronie frontendu ładującej widget Royal Elementor, więc nie jest potrzebna sesja ani wcześniejsze działanie.

Wtyczka rtMedia dla WordPressa, BuddyPress i bbPress w wersjach do 4.7.11 włącznie jest podatna na czasową ślepą iniekcję SQL poprzez parametr 'compare' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionemu atakującemu dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana na dowolnej publicznej stronie zawierającej shortcode rtMedia (np. [rtmedia_gallery]) przy ustawionym parametrze GET rtmedia_shortcode, ponieważ RTMediaQuery::query() scala $_REQUEST z wewnętrznym zapytaniem, walidując tylko klucze najwyższego poziomu.