Katalog podatności CVE

Flowise przed 3.1.4 zawiera podatność typu broken access control w GET /api/v1/organizationuser, która pozwala każdemu uwierzytelnionemu członkowi organizacji pobrać pełny rekord użytkownika będącego właścicielem organizacji, w tym hash hasła bcrypt i tokeny tymczasowe. Atakujący może odpytać endpoint z dowolnym identyfikatorem użytkownika, aby uzyskać hash poświadczeń właściciela do złamania offline.

Wtyczka MemberPress Corporate Accounts dla WordPressa jest podatna na eskalację uprawnień w wersjach do 1.5.39 włącznie. Wynika to z podatności mass assignment w funkcji 'add_sub_account_user', która przekazuje surową tablicę 'userdata' do 'wp_insert_user' bez filtrowania niebezpiecznych kluczy, takich jak role lub ID. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi, posiadającym konto korporacyjne, tworzenie nowych kont administratora lub przejęcie istniejących kont administratora poprzez nadpisanie ich adresów e-mail. Podatność została częściowo załatana w wersji 1.5.39.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa w wersjach do 2.4.9 włącznie jest podatna na Stored Cross-Site Scripting poprzez wiele widgetów Elementora. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru 'load_manually' w metodach render() klas. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi, mogący korzystać z Elementora, może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

MCPHub w wersjach przed 1.0.32 zawiera podatność obejścia uwierzytelniania w wbudowanym serwerze autoryzacji OAuth 2.0, w którym uwierzytelnianie klienta jest domyślnie wyłączone, a wymuszanie PKCE jest opcjonalne. Atakujący, który przechwyci kod autoryzacji, może wymienić go na tokeny dostępu bez podawania sekretu klienta lub weryfikatora PKCE, uzyskując dostęp do kont ofiar i ich uprawnień.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia liczby całkowitej w MessageUnpacker.skipValue() podczas przetwarzania kontenerów MAP32 z dużą liczbą elementów. Atakujący może podać liczbę elementów MAP32 równą lub większą niż 0x40000000, która przy podwojeniu ulega zawinięciu, powodując desynchronizację kursora parsera i zwrócenie danych kontrolowanych przez atakującego w miejsce późniejszych pól.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia stosu w MessageUnpacker.unpackValue(), która rekurencyjnie deserializuje tablice i mapy bez ograniczeń głębokości zagnieżdżenia. Atakujący może przygotować ładunki z głęboko zagnieżdżonymi tablicami, aby wyczerpać stos wątku deserializującego i wywołać StackOverflowError, powodując błędy deserializacji dla poszczególnych żądań.

Podatność niewłaściwej ochrony fizycznych kanałów bocznych w Microchip AN1044, Microchip AN953 i Microchip SW300052. Problem dotyczy AN1044 do wersji A, AN953 do wersji A oraz SW300052 do wersji 2.6.

Wtyczka GEO my WP dla WordPressa w wersjach do 4.5.5.3 włącznie jest podatna na lokalne włączenie plików (LFI) poprzez funkcję gmw_posts_locator_ajax_info_window_loader. Umożliwia to nieuwierzytelnionemu atakującemu włączenie i wykonanie dowolnych plików .php na serwerze, co może posłużyć do obejścia kontroli dostępu, uzyskania poufnych danych lub wykonania kodu. W środowiskach z zainstalowanym PEAR i włączonym register_argc_argv podatność może zostać wykorzystana do zapisu i wykonania dowolnego kodu PHP, prowadząc do pełnego zdalnego wykonania kodu.

Wtyczka MPG – Multiple Page Generator, Bulk Landing Pages & Programmatic SEO dla WordPressa w wersjach do 4.2.1 włącznie jest podatna na ogólną iniekcję SQL poprzez ścieżkę URL z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionemu atakującemu z poziomem subskrybenta i wyższym dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana tylko wtedy, gdy shortcode [mpg_spintax] jest renderowany w treści obejmującej całą witrynę, takiej jak stopka lub część szablonu.

Wtyczka Tutor LMS do WordPressa (wersje do 4.0.7 włącznie) jest podatna na wstrzyknięcie obiektu PHP poprzez parametr `withdraw_method_field` w handlerze AJAX `tutor_save_withdraw_account`. Handler nie sprawdza uprawnień ani roli, opierając się wyłącznie na nonce, a dodatkowo przetwarza dane przez `esc_sql()`, co prowadzi do niezgodności długości w serializowanych danych i umożliwia wstrzyknięcie dowolnego strumienia serializowanego obiektu. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może osiągnąć zdalne wykonanie kodu poprzez łańcuch POP `GuzzleHttp\Cookie\FileCookieJar`, a przy włączonej rejestracji użytkowników istnieje ścieżka nieuwierzytelniona.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.3 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję parse_array. Nieodpowiednia walidacja mapy 'classes' widgetu pozwala na obejście sprawdzenia is_safe_widget_instance() i dotarcie do wywołania kodu w Element_Classes::parse_array(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, jeśli w witrynie włączono komentarze do wpisów tribe_events i przesłano komentarz zawierający spreparowany blok wp:legacy-widget.

Wtyczka The Events Calendar dla WordPressa w wersjach do 6.17.4 włącznie jest podatna na zdalne wykonanie kodu poprzez funkcję is_safe_widget_instance. Ochrona w tej funkcji może zostać obejta, ponieważ PHP uruchamia magiczne metody podczas wstępnego przetwarzania, a enable_rendering_widget_copied() fałszuje prawidłowy atrybut integralności wp_hash przed osiągnięciem unserialize(). Atakujący bez uwierzytelnienia może wykonać kod na serwerze, ponieważ szablon V2 pojedynczego wydarzenia uruchamia do_blocks() na buforowanym HTML komentarza, a WordPress zwraca URL z hashem moderacji pozwalający na natychmiastowe wyświetlenie własnego oczekującego komentarza.

Wtyczka Smart Marketing SMS and Newsletters Forms dla WordPressa jest podatna na wstrzyknięcie SQL (SQL Injection) poprzez nazwę parametru we wszystkich wersjach do 5.1.24 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączać dodatkowe zapytania SQL do istniejących zapytań i wyciągać poufne dane z bazy danych. Wykorzystanie wymaga włączonej funkcji synchronizacji wtyczki oraz niepustej opcji egoi_mapping.

Wtyczka Royal Addons for Elementor – Addons and Templates Kit for Elementor dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.7.1066 włącznie poprzez parametr 'wpr_keyword'. Nieuwierzytelniony atakujący może wyciągać dowolne wartości postmeta ze wszystkich opublikowanych wpisów, dopasowując znak po znaku w całej tabeli wp_postmeta. Wymagany nonce jest publicznie emitowany przez wp_localize_script na każdej stronie frontendu ładującej widget Royal Elementor, więc nie jest potrzebna sesja ani wcześniejsze działanie.

Wtyczka rtMedia dla WordPressa, BuddyPress i bbPress w wersjach do 4.7.11 włącznie jest podatna na czasową ślepą iniekcję SQL poprzez parametr 'compare' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionemu atakującemu dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana na dowolnej publicznej stronie zawierającej shortcode rtMedia (np. [rtmedia_gallery]) przy ustawionym parametrze GET rtmedia_shortcode, ponieważ RTMediaQuery::query() scala $_REQUEST z wewnętrznym zapytaniem, walidując tylko klucze najwyższego poziomu.

Wtyczka DT LMS – elearning, WordPress LMS dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w wielu handlerach AJAX (m.in. dtlms_save_poc_settings, dtlms_save_skin_settings, dtlms_save_options_settings) w wersjach do 1.1 włącznie. Handlery te są zarejestrowane na hooku wp_ajax_nopriv_* i nie zawierają sprawdzenia uprawnień ani weryfikacji nonce, przekazując dane od użytkownika bezpośrednio do update_option(). Nieuwierzytelniony atakujący może nadpisać dowolne opcje wtyczki w tabeli wp_options, w tym konfigurację e-mail Point-of-Contact oraz ustawienia skina/brandingu.

Wtyczka Product XML Feed Manager for WooCommerce dla WordPressa w wersji przed 3.1.1 nie ogranicza, którą metodę obiektu może wywołać jej shortcode produktu, ani nie sprawdza uprawnień użytkownika do docelowego produktu. Umożliwia to użytkownikom z uprawnieniami współtwórcy usunięcie dowolnych produktów WooCommerce poprzez podgląd wpisu zawierającego ten shortcode.

Wtyczka WPBot dla WordPressa w wersji przed 8.5.7 nie wykonuje żadnej autoryzacji ani sprawdzenia nonce w kilku akcjach AJAX, które przekazują zapytania do skonfigurowanych dostawców AI. Umożliwia to nieuwierzytelnionym atakującym wykonywanie wywołań API stron trzecich i generowanie kosztów przy użyciu kluczy API skonfigurowanych w witrynie.

Wtyczka WPBot dla WordPressa w wersji przed 8.6.0 nie wykonuje żadnego sprawdzenia uprawnień ani nonce w akcji AJAX, która wyświetla zapisane sesje czatu. Umożliwia to nieuwierzytelnionym atakującym pobranie imienia, adresu e-mail i numeru telefonu każdego odwiedzającego czat poprzez żądanie szerokiego zakresu dat.

Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.3 nie wykonuje żadnego sprawdzenia autoryzacji w punkcie końcowym zwracającym szczegóły potwierdzenia rezerwacji, a każda rezerwacja jest identyfikowana kolejnym numerem. Umożliwia to nieuwierzytelnionym atakującym odczytanie imienia, adresu e-mail, numeru telefonu, szczegółów rezerwacji i statusu płatności dowolnego klienta poprzez enumerację identyfikatora.