Katalog podatności CVE

Sim przed wersją 0.8.14 klasyfikuje żądania narzędzi jako wewnętrzne na podstawie prefiksu URL bez normalizacji schematu, pomijając walidację SSRF i generując wewnętrzne tokeny autoryzacyjne. Uwierzytelnieni autorzy przepływów pracy mogą ominąć walidację zewnętrznych URL, podając ścieżki zaczynające się od /api/ w blokach HTTP, aby dotrzeć do wewnętrznych punktów końcowych, takich jak POST /api/function/execute.

Arcane przed wersją 2.0.0 nie ogranicza prawidłowo operacji na szablonach, co pozwala kontom z domyślną rolą użytkownika tworzyć, modyfikować i usuwać szablony kompozycji, w tym domyślne dla całej instancji. Atakujący mogą wstrzykiwać złośliwe konfiguracje kontenerów z uprzywilejowanymi ustawieniami lub montowaniem ścieżek hosta, które wykonują się z uprawnieniami administracyjnymi, gdy zostaną wdrożone przez administratorów.

BookWyrm do wersji 0.9.1 zawiera podatność obejścia autoryzacji w funkcji edit_readthrough, która pozwala uwierzytelnionym użytkownikom modyfikować rekordy czytelnicze innych użytkowników. Atakujący mogą wykorzystać sekwencyjne identyfikatory ReadThrough, aby nadpisać daty rozpoczęcia, zakończenia, postęp i tryb postępu dowolnych użytkowników, wpływając na statystyki czytania i eksportowane dane.

BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w widokach Favorite i Unfavorite, co pozwala uwierzytelnionym atakującym dodawać do ulubionych lub usuwać z ulubionych statusy przeznaczone tylko dla obserwujących oraz bezpośrednie, do których nie mają dostępu. Atakujący mogą wysyłać POST do punktu końcowego ulubionych z identyfikatorem statusu, aby tworzyć nieautoryzowane interakcje, wyzwalać transmisje ActivityPub i enumerować prywatne identyfikatory statusów poprzez różnicowanie odpowiedzi.

BookWyrm do wersji 0.9.1 nie waliduje uprawnień widoczności użytkownika w punkcie końcowym edycji statusu, co pozwala uwierzytelnionym atakującym czytać recenzje przeznaczone tylko dla obserwujących oraz wiadomości bezpośrednie poprzez enumerację sekwencyjnych identyfikatorów statusów. Atakujący mogą uzyskać dostęp do surowej treści ograniczonych statusów przez widok edycji, omijając zabezpieczenia prywatności udokumentowane dla tych typów wiadomości.

Wtyczka Pods – Custom Content Types and Fields dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'not_found' w shortcode w wszystkich wersjach do 3.3.9.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Post Grid and Gutenberg Blocks – ComboBlocks dla WordPressa jest podatna na nieuwierzytelnione wstrzyknięcie hooków w wersjach 2.2.32 do 2.3.1 przez kilka funkcji w pliku ~/includes/blocks/form-wrap/function.php. Umożliwia to nieuwierzytelnionym atakującym wykonanie akcji z hookami w WordPressie, o ile nie są obecne inne zabezpieczenia w funkcji.

Wtyczka Gallery : FooGallery dla WordPressa jest podatna na trwały atak XSS przez atrybut 'custom_settings' shortcode'a we wszystkich wersjach do 3.3.2 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez nagłówek adresu IP we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Nieuwierzytelniony atakujący może najpierw wywołać akcję 'updateNonce' — dostępną bez uwierzytelnienia z powodu jej braku na liście uprawnień wtyczki — aby uzyskać ważny nonce, a następnie wysłać formularz kontaktowy ze złośliwym ładunkiem w sfałszowanym nagłówku IP, takim jak X-Forwarded-For.

Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.

Wtyczka Unlimited Elements For Elementor dla WordPressa jest podatna na odbity atak XSS przez parametr 'formData[id]' we wszystkich wersjach do 2.0.17 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Dodatkowo, handler AJAX po stronie frontendu jest zarejestrowany na publicznym zdarzeniu 'wp' bez sprawdzania nonce, uprawnień czy referera, a surowa wartość id jest interpolowana do komunikatu wyjątku i zwracana bez escapowania.

Wtyczka Custom Contact Forms dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 7.16 włącznie. Podatność wynika z nieprawidłowego weryfikowania uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym trwałe usuwanie dowolnych postów dowolnego typu (w tym stron, postów administratora i produktów WooCommerce) oraz zapisywanie dowolnych meta postów ccf_field_* na dowolnym poście, niezależnie od właściciela czy typu posta.

Wtyczka Video Player for YouTube dla WordPressa przed wersją 2.1.0 nie odpowiednio sanityzuje i nie escapuje danych wprowadzanych przez użytkownika przed użyciem ich w zapytaniu SQL. Umożliwia to użytkownikom z rolą Współautora i wyższą przeprowadzenie ataków SQL injection i odczyt dowolnych danych z bazy danych.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ma odpowiedniej autoryzacji na publicznej akcji ładowania recenzji, co pozwala nieuwierzytelnionym użytkownikom na zmuszanie witryny do wielokrotnych, płatnych żądań API do zewnętrznych usług przy użyciu skonfigurowanego klucza API oraz tworzenie nieograniczonej liczby wierszy w bazie danych kontrolowanych przez atakującego.

Wtyczka HT Menu dla WordPressa przed wersją 1.2.7 nie wykonuje żadnych kontroli uprawnień ani własności obiektu podczas zapisywania ustawień elementów menu nawigacji, a także nie escapuje tych zapisanych ustawień podczas renderowania menu. Umożliwia to użytkownikom z minimalnymi uprawnieniami, takimi jak Subskrybenci, przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego odwiedzającego, w tym administratorów, którzy przeglądają dotknięte menu.

Wtyczka JCH Optimize dla WordPressa przed wersją 6.0.1 nie wykonuje kontroli uprawnień na jednej z uwierzytelnionych akcji AJAX i pozwala żądaniu wybrać, która wewnętrzna akcja zostanie uruchomiona. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subskrybenci, importowanie dowolnych ustawień wtyczki JCH Optimize przed wersją 6.0.1 i przechowywanie skryptu, który wykonuje się w przeglądarce każdego odwiedzającego lub administratora przeglądającego witrynę.

Wtyczka Joli Table Of Contents dla WordPressa przed wersją 3.0.3 nie sanityzuje ani nie escapuje wartości atrybutu shortcode przed wypisaniem jej wewnątrz atrybutu elementu HTML. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych atrybutów HTML i JavaScriptu, które wykonują się w przeglądarce każdego użytkownika przeglądającego post, w tym administratorów. Przekracza to granicę uprawnień nawet w multisite, gdzie tacy użytkownicy nie mają uprawnień do publikowania niesfiltrowanego HTML.

Wtyczka CatFolders Document Gallery & PDF Library dla WordPressa przed wersją 2.0.7 nie poprawnie waliduje atrybutu bloku przed użyciem go jako nazwy tagu HTML w swoim wyjściu galerii. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego, kto przegląda dotknięty post.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie wykonuje wystarczającej kontroli autoryzacji na jednej z tras API Google Reviews REST, co pozwala użytkownikom z rolą Współautora i wyższą na modyfikację ogólnowitrynowego sklepu, usuwanie wpisów skonfigurowanych przez administratora i wstrzykiwanie własnych, które są publicznie renderowane w całej witrynie.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ogranicza prawidłowo dostępu do jednej z tras REST dotyczących opinii Google, umożliwiając każdemu zalogowanemu użytkownikowi z rolą współautora lub wyższą odczytanie adresu e-mail administratora witryny, który to adres WordPress domyślnie ukrywa przed tą rolą.