Katalog podatności CVE

Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.26 nie weryfikuje, czy zapisana metoda płatności należy do użytkownika, który ją przypina, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na powiązanie zapisanej karty innego klienta z własnym kontem, a następnie jej obciążenie lub usunięcie. Wykorzystanie luki wymaga, aby atakujący znał identyfikator dostawcy płatności dla zapisanej metody ofiary, którego wtyczka przed wersją 2.0.26 nie ujawnia.

Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.26 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać sekret, który kontroluje dostęp do dowolnego zamówienia, a przez to do danych rozliczeniowych i wysyłkowych klienta, poprzez iterację sekwencyjnych identyfikatorów zamówień.

Wtyczka Payment Plugins for Stripe WooCommerce przed wersją 4.0.12 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać dane rozliczeniowe dowolnego zamówienia oraz sekret kontrolujący dostęp do niego, poprzez iterację sekwencyjnych identyfikatorów zamówień.

Wtyczka Next-Cart Store to WooCommerce Migration dla WordPressa do wersji 3.9.8 włącznie ma podatność na ominięcie uwierzytelniania w funkcji NCWM_Kitconnect::run(). Trasa REST /wp-json/next_cart/v1/migration ma ustawiony permission_callback na __return_true i używa twardo zakodowanej wartości '__token__' jako domyślnego tokena, gdy opcja nextcart_token nie jest jeszcze zapisana w bazie. Pozwala to niezalogowanym atakującym na ominięcie uwierzytelniania i wykonanie dowolnych zapytań SQL oraz usuwanie plików.

Wtyczka WP Recipe Maker dla WordPressa do wersji 10.8.0 włącznie jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą przejąć własność przepisów stworzonych przez administratorów oraz je opublikować.

Wtyczka Ultimate Gift Cards for WooCommerce przed wersją 3.2.10 nie weryfikuje, czy użytkownik realizujący kartę podarunkową jest jej zamierzonym odbiorcą. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na realizację kart podarunkowych należących do innych użytkowników, zerując ich saldo i przypisując wartość sobie. W wersji 3.2.9 dodano sprawdzenie własności na jednej z dwóch dotkniętych ścieżek realizacji; pozostała ścieżka wymaga aktywnej wtyczki Ultimate Gift Cards for WooCommerce przed wersją 3.2.10 od tego samego dostawcy.

Wtyczka Awesome Support dla WordPressa do wersji 6.3.9 włącznie ma brak kontroli autoryzacji w funkcji wpas_do_mr_deny_user(). Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą ustawić flagę mr_user_denied na dowolnym koncie użytkownika, w tym administratora, blokując ich aktywację i wysyłając im e-mail z odmową.

Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje, czy osoba żądająca jest upoważniona do działania na rezerwacji, której dotyczy jeden z front-endowych handlerów komunikatów płatności. Pozwala to nieuwierzytelnionym atakującym anulować płatność na dowolnej rezerwacji klienta.

Wtyczka Loops & Logic przed wersją 4.3.0 nie ogranicza swojego publicznego działania dotyczącego danych szablonu do danych, które odwiedzający może zobaczyć. Pozwala to nieuwierzytelnionym użytkownikom czytać dowolne rekordy użytkowników (w tym adresy e-mail i role) oraz dowolne opcje witryny.

Wtyczka ELEX WooCommerce Request a Quote przed wersją 2.4.1 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym użytkownikom przeprowadzać ataki SQL injection i wyodrębniać dowolne dane z bazy danych.

Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje poprawnie, czy osoba żądająca jest właścicielem rezerwacji, której dotyczy zgłoszenie wpłaty bankowej. Pozwala to nieuwierzytelnionemu atakującemu, który zna adres e-mail klienta, na zmianę stanu płatności rezerwacji tego klienta i dołączenie do niej pliku.

Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje poprawnie, czy osoba żądająca jest upoważniona do modyfikacji docelowej rezerwacji na jednej z gałęzi handlera wpłat bankowych. Pozwala to nieuwierzytelnionemu atakującemu, który zna adres e-mail klienta, na zresetowanie płatności rezerwacji tego klienta do stanu nieopłaconego i usunięcie przechowywanych danych dotyczących rozliczenia wpłaty.

Wtyczka Content Mask przed wersją 1.8.5.6 nie odpowiednio sanityzuje i nie escapuje treści przesłanej z postem przed jej wyświetleniem na generowanych stronach. Pozwala to użytkownikom z rolą co najmniej Współautor (Contributor) na przeprowadzanie ataków Stored Cross-Site Scripting (XSS) przeciwko każdemu użytkownikowi przeglądającemu lub podglądającemu dotkniętą stronę. Opcja ograniczająca użycie wtyczki według roli nie zapobiega temu.

W pakiecie mirage-crypto-ec przed wersją 2.4.0 dla OCaml wykryto boczny kanał czasowy w mnożeniu skalarnym na krzywych eliptycznych NIST: czas potrzebny na wyszukiwanie może zależeć od sekretu. To może pozwolić atakującemu na odzyskanie klucza prywatnego poprzez pomiary czasu.

W pakiecie mirage-crypto-ec przed wersją 2.3.0 dla OCaml wykryto odczyt poza zakresem dla skompresowanych punktów klucza publicznego EC. Może to prowadzić do ujawnienia danych lub awarii programu.

W pakiecie mirage-crypto-pk przed wersją 2.3.0 dla OCaml wykryto nieudokumentowany wyjątek dla małej wiadomości podczas deszyfrowania lub szyfrowania RSA. Może to prowadzić do nieoczekiwanego zakończenia działania programu.

W pakiecie utcp przed wersją 0.0.6 dla języka OCaml odkryto problem: ponowna składanie segmentów poza kolejnością pozwala na zdalną odmowę usługi.

W pakiecie mirage-crypto-ec przed wersją 2.2.0 dla OCaml funkcje ECDSA {P256,P384,P521}.Dsa.pub_of_octets akceptują 0x00, czyli kodowanie punktu w nieskończoności, jako klucz publiczny. Z takim kluczem publicznym można fałszować podpisy bez posiadania klucza prywatnego.

W pakiecie mirage-crypto przed wersją 2.2.0 dla OCaml funkcje AES.GCM.authenticate_decrypt_into i Chacha20.authenticate_decrypt_into zapisują odszyfrowany tekst jawny do bufora dostarczonego przez wywołującego, a dopiero potem porównują tag. W przypadku sfałszowanego tagu funkcje zwracają fałsz, ale bufor docelowy już zawiera pełny tekst jawny.

W aplikacji Visual Voicemail przed wersją 20.1.00.05 występuje nieprawidłowy eksport komponentów aplikacji na Androida, co pozwala lokalnym atakującym na inicjowanie połączeń bez odpowiednich uprawnień.