Katalog podatności CVE

Wtyczka MC4WP: Mailchimp for WordPress do wersji 4.12.0 włącznie jest podatna na Stored Cross-Site Scripting przez pola meta wiadomości odpowiedzi formularza (np. 'text_subscribed', 'text_error') z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Advanced Product Fields (Product Addons) dla WooCommerce w WordPressie jest podatna na nieprawidłową walidację danych wejściowych we wszystkich wersjach do 1.6.21 włącznie. Wynika to z błędu logicznego w funkcji 'validate_cart_data'. Umożliwia to nieuwierzytelnionym atakującym ominięcie wymaganych płatnych dodatków i dokonanie zakupów tylko po cenie bazowej produktu, skutecznie kradnąc produkty, płacąc ułamek zamierzonej ceny. Podatność została częściowo załatana w wersji 1.6.19.

PasswordPusher w wersjach od v1.45.11 do v2.9.5 zawiera podatność na nieprawidłową autoryzację w logice usuwania push. Sprawdzanie własności porównuje @push.user z current_user; dla anonimowo utworzonego push obie wartości są nil, a Ruby ocenia nil == nil jako prawda, więc kontrola przechodzi i ograniczenie deletable_by_viewer nie jest egzekwowane. Atakujący znający tylko sekretny URL może trwale usunąć anonimowy push, nawet jeśli twórca wyłączył usuwanie przez widzów i bez hasła. Dotyczy to tylko wdrożeń zezwalających na anonimowe push (domyślnie). Problem naprawiono w v2.9.6.

luci-lib-px5g (LuCI) zawiera przepełnienie bufora na stercie w natywnej procedurze kodowania ASN.1 asn1_add_obj (x509write.c) podczas podpisywania certyfikatu kluczem RSA 2040-bitowym. Dla 255-bajtowego podpisu alokacja BIT STRING jest obliczana na podstawie długości DER 255 bajtów, ale ładunek zapisywany po dodaniu bajtu nieużywanych bitów ma 256 bajtów, co wymaga dodatkowego oktetu długości DER. W rezultacie alokacja wynosi 259 bajtów, podczas gdy tag, długość, bajt nieużywanych bitów i podpis wymagają 260 bajtów, a końcowe memcpy zapisuje jeden bajt poza bufor. Przepełnienie jest osiągalne przez eksportowany interfejs Lua za pomocą create_selfsigned(); to, czy jest zdalnie wykorzystywalne, zależy od aplikacji osadzającej. Podatny kod występuje w gałęziach openwrt-18.06 do openwrt-25.12 i jest nieobecny w master, gdzie pakiet luci-lib-px5g został usunięty, a nie załatany.

Netty (io.netty:netty-codec-socks) w wersjach od 4.2.0.Final do 4.2.16.Final oraz od 4.1.x do 4.1.136.Final zawiera podatności na wstrzykiwanie bajtów null, CRLF i poświadczeń w enkoderach klienta SOCKS4 (Socks4ClientEncoder) i SOCKS5 (Socks5ClientEncoder), które nie walidują pól adresu domeny i uwierzytelniania (nazwa użytkownika/hasło). Atakujący kontrolujący te pola może wstrzyknąć bajty null lub znaki CRLF, aby skrócić lub zmienić wartości, co może prowadzić do fałszowania domen, skrócenia userid SOCKS4, wstrzyknięcia danych uwierzytelniających i zamieszania protokołu. Naprawiono w 4.2.17.Final i 4.1.137.Final.

Netty (io.netty:netty-handler) w wersjach od 4.2.0.Final do 4.2.16.Final oraz w wersjach do 4.1.136.Final wyłącza weryfikację nazwy hosta TLS na ścieżce klienta SslProvider.OPENSSL, gdy używany jest zwykły (nie rozszerzony) X509TrustManager i niedostępne jest opakowanie menedżera zaufania oparte na Unsafe (Java 25+). W tej konfiguracji klient OpenSSL nie przeprowadza weryfikacji nazwy hosta, co pozwala atakującemu typu man-in-the-middle na przedstawienie certyfikatu wydanego dla innej nazwy hosta, który jest akceptowany bez weryfikacji. Poprawiono w wersjach 4.2.17.Final i 4.1.137.Final.

SiYuan przed wersją v3.7.4 nie weryfikuje, czy packageName odpowiada zawartości pobranego pakietu w punktach instalacji bazaar. Atakujący z dostępem same-origin mogą nadpisać istniejące zaufane wtyczki, podając niezgodne parametry packageName i repoURL, osiągając trwałość po ponownym uruchomieniu aplikacji.

SiYuan w wersjach przed v3.7.4 zawiera podatność na dowolne usuwanie plików w punkcie końcowym /api/search/removeTemplate, który akceptuje niezweryfikowany parametr ścieżki przekazywany bezpośrednio do os.RemoveAll. Uwierzytelnieni atakujący z uprawnieniami administratora mogą podać bezwzględne ścieżki systemu plików, aby rekurencyjnie usunąć dowolne pliki lub katalogi, do których proces jądra ma uprawnienia, w dowolnym miejscu systemu plików hosta.

SiYuan przed wersją v3.8.0 zawiera niekompletną listę blokowanych ścieżek w narzędziu plikowym MCP, które nie ogranicza dostępu do wrażliwych plików obszaru roboczego chronionych przez API HTTP. Uwierzytelnieni administratorzy mogą odczytać hasła w trybie publikacji w postaci zwykłego tekstu z pliku data/.siyuan/publishAccess.json oraz uzyskać dostęp do innych wrażliwych plików, takich jak data/templates i data/snippets/conf.json.

SiYuan przed wersją v3.8.0 interpoluje sekretne placeholdery do parametru docelowego URL narzędzia http_request MCP, co pozwala atakującym na eksfiltrację przechowywanych sekretów. Klient MCP może utworzyć żądanie z kontrolowanym przez atakującego URL zawierającym sekretne placeholdery, aby wysłać jawne wartości sekretów do dowolnego publicznego hosta bez potwierdzenia.

AVideo do commitu 9c39d8c8 zawiera podatność na obejście uwierzytelniania, gdzie deduplicateByEncoderQueueId() zwraca poświadczenia video_id_hash dla dowolnego wideo na podstawie encoder_queue_id bez weryfikacji własności, a useVideoHashOrLogin() konwertuje ten hash na logowanie bez hasła jako właściciel wideo. Atakujący z uprawnieniami do przesyłania mogą uzyskać video_id_hash administratora, pomijając parametr videos_id, a następnie użyć tego hasha w nieuwierzytelnionym żądaniu, aby uzyskać dostęp do sesji administracyjnej i zmodyfikować konfigurację systemu.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji, gdzie getToken() tworzy tokeny bez powiązania z tożsamością użytkownika lub celem, a plugin/Gallery/view/sections.php wydaje ważne tokeny nieuwierzytelnionym odwiedzającym. Atakujący mogą pobrać token z punktu końcowego Galerii i użyć go do obejścia kontroli autoryzacji w innych podsystemach, takich jak view/hls.php, aby uzyskać dostęp do ograniczonych treści wideo.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w punkcie końcowym releaseVideoNow.json.php, który nie ma kontroli autentyczności i akceptuje żądania GET. Atakujący mogą stworzyć złośliwe żądanie GET z ciasteczkiem sesji administratora, aby trwale opublikować dowolne wideo z embargiem, manipulując parametrem videos_id.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na obejście autoryzacji w punkcie końcowym Users_affiliations add.json.php, która pozwala uwierzytelnionym użytkownikom na sfałszowanie zapisów dwustronnej zgody poprzez podanie znacznika czasu zgody drugiej strony. Atakujący mogą utworzyć sfałszowaną afiliację ze statusem 'a', a następnie przypisać własność wideo dowolnym użytkownikom przez punkt końcowy videoAddNew.json.php, który ufa sfałszowanej afiliacji jako warunkowi autoryzacji.

WWBN AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w objects/videoEditLight.php, która nie sprawdza autentyczności żądań i akceptuje żądania GET. Atakujący mogą przechowywać tag img w opisie wideo, który przenosi własność wideo na konto kontrolowane przez atakującego, gdy administrator przegląda stronę wideo.

better-npm-audit do wersji 3.11.0 oraz wersja 4.0.0-rc.2 buduje polecenie npm audit, interpolując opcję --registry dostarczoną przez użytkownika do ciągu poleceń w src/handlers/handleInput.ts bez walidacji lub cytowania, a następnie przekazuje ten ciąg do child_process.exec() w index.ts, który uruchamia powłokę. Wartość rejestru zawierająca metaznaki powłoki, takie jak średnik, potok lub podstawienie poleceń, wykonuje dowolne polecenia systemu operacyjnego z uprawnieniami procesu uruchamiającego audyt.

AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w channelToGallery.json.php, która pozwala atakującym modyfikować konfigurację Galerii na poziomie całej witryny poprzez nieautoryzowane zapisy do danych wtyczki. Atakujący mogą stworzyć żądanie GET z ciasteczkiem sesji administratora, aby promować dowolne kanały na stronę główną lub usuwać wybrane sekcje bez walidacji tokena.

AVideo do commitu 9c39d8c8 zawiera podatność na ujawnienie informacji w feed/index.php, która pozwala nieuwierzytelnionym atakującym na pobranie adresów e-mail właścicieli kanałów poprzez podanie publicznej nazwy kanału. Atakujący mogą enumerować wszystkie adresy e-mail twórców, iterując po publicznych nazwach kanałów i wyciągając je z elementów RSS itunes:email i itunes:author, co umożliwia próby przejęcia kont i kampanie phishingowe.

Wtyczka Post Duplicator dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji `duplicate_post()` we wszystkich wersjach do 3.0.11 włącznie. Funkcja nie weryfikuje, czy użytkownik ma uprawnienie `edit_others_posts` przed przyjęciem parametru `selectedAuthorId` przez punkt końcowy REST `duplicate-post`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie zduplikowanych postów przypisanych do dowolnego użytkownika, w tym administratorów.