Katalog podatności CVE

Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.

Wtyczka Advanced Custom Fields: Extended dla WordPressa przed wersją 0.9.2.7 nie weryfikuje, czy żądający jest uprawniony do edycji docelowego konta użytkownika w akcji aktualizacji użytkownika w module Forms; sprawdza tylko uprawnienia, gdy przesłana rola to administrator lub super_admin. Na stronie z publicznie dostępnym formularzem front-end, którego akcja aktualizacji użytkownika celuje w istniejącego administratora (stały cel lub mapowany na pole przesłane przez odwiedzającego) i mapuje hasło na pole przesłane przez odwiedzającego, niezalogowany odwiedzający może nadpisać hasło administratora i przejąć konto. Domyślnym celem jest przesyłający użytkownik, więc wykorzystanie zależy od konfiguracji formularza.

Wtyczka Ultimate Before After Image Slider & Gallery dla WordPressa przed wersją 4.7.19 nieprawidłowo escapuje wartość etykiety 'przed' suwaka przed jej ponownym wstrzyknięciem do DOM przez dołączony skrypt po stronie klienta, co pozwala użytkownikom z rolą Autora i wyżej przechowywać ładunek, który wykonuje się w przeglądarce każdego (w tym administratora), kto ogląda suwak.

Wtyczka Ultimate Before After Image Slider & Gallery dla WordPressa przed wersją 4.7.19 nieprawidłowo escapuje wartość etykiety 'po' suwaka przed jej ponownym wstrzyknięciem do DOM przez dołączony skrypt po stronie klienta, co pozwala użytkownikom z rolą Autora i wyżej przechowywać ładunek, który wykonuje się w przeglądarce każdego (w tym administratora), kto ogląda suwak.

Wtyczka Booking for Appointments and Events Calendar – Amelia (Premium) dla WordPressa w wersjach 8.0 - 9.6.2 jest podatna na eskalację uprawnień z powodu niewystarczającej walidacji parametru 'type' w punkcie końcowym aktualizacji klienta. Umożliwia to klientom ustawienie swojej roli na 'manager' i utworzenie użytkownika WordPressa z rolą wpamelia-manager, gdy parametr 'externalId' jest ustawiony na 0. Nieuwierzytelnieni atakujący mogą eskalować swoje uprawnienia do administratora, najpierw podnosząc się do roli menedżera, a następnie tworząc encję dostawcy powiązaną z ID administratora i nadpisując hasło administratora.

Westermo WeOS 5.x od wersji 5.24 umożliwia wstrzyknięcie poleceń systemu operacyjnego poprzez definicję nośnika (media definition).

Oxford Nanopore MinKNOW przed wersją 24.06 polega na adresie IP klienta do uwierzytelniania.

Motyw Divi dla WordPressa jest podatny na trwały cross-site scripting przez funkcję Dynamic Content w starszym formacie JSON we wszystkich wersjach do 4.27.6 włącznie. Wynika to z dwóch nakładających się wad: (1) filtr sanityzacji przy zapisie `et_builder_sanitize_dynamic_content_fields()` szuka tylko znaczników dynamicznej treści w formacie `@ET-DC@...@`, ale silnik renderujący obsługuje również starszy format JSON, który jest po cichu konwertowany w czasie renderowania, całkowicie omijając filtr przy zapisie, oraz (2) resolver `post_meta_key` w `et_builder_filter_resolve_default_dynamic_content()` nie stosuje `wp_kses_post()` do rozwiązanej wartości meta, gdy `enable_html` jest ustawione na `on`, przekazując surowe dane z `get_post_meta()` bezpośrednio na stronę. To umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyżej wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Baserow w wersjach 2.2.0 do 2.3.3 zawiera podatność SQL injection w funkcji formuły index(). Uwierzytelniony użytkownik z niskimi uprawnieniami, mogący tworzyć lub modyfikować pola formuł, może podać nieudokumentowany czwarty argument traktowany jako szablon SQL i wstawiany bezpośrednio do wyrażenia PostgreSQL. Zapytanie wykonuje się z uprawnieniami roli PostgreSQL Baserow, umożliwiając odczyt lub modyfikację danych poza uprawnieniami obszaru roboczego użytkownika.

Zidentyfikowano podatność w aplikacji MapQuest Get Directions App 10.16.1 na Androidzie. Podatność dotyczy funkcji getDataColumn pliku ExpoShareIntentModule.kt komponentu com.mapquest.android.ace. Manipulacja prowadzi do przejścia ścieżki. Atak musi być przeprowadzony lokalnie. Exploit jest publicznie dostępny i może być użyty. Dostawca został wcześnie poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.

Wykryto podatność w Piwigo do wersji 16.3.0. Dotyczy ona nieznanej funkcjonalności pliku i.php w komponencie Image Derivative Handler. Manipulacja prowadzi do path traversal. Zdalne wykorzystanie ataku jest możliwe, a exploit został publicznie ujawniony.

Wtyczka WP File Download dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji delete we wszystkich wersjach. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, gdy usunięty zostanie odpowiedni plik (np. wp-config.php). Exploit wymaga dwóch żądań: najpierw do zadania file.save w celu zapisania ciągu path traversal w metadanych pliku, a następnie do zadania file.delete w celu wywołania funkcji unlink — oba punkty końcowe nie mają kontroli uprawnień ani nonce.

W trybie FIPS funkcja add_decoded_cert() w Libreswan wywołuje CERT_ExtractPublicKey() i zakłada, że wynik nie jest NULL. Jednak CERT_ExtractPublicKey() zwraca NULL, gdy ekstrakcja klucza publicznego nie powiedzie się, na przykład gdy wykładnik RSA jest ustawiony na 0. Zdalny atakujący może wysłać złośliwy certyfikat X.509 w ładunku CERT, aby wywołać asercję, powodując przerwanie i ponowne uruchomienie demona pluto. Ciągłe wykorzystywanie powoduje denial of service. Brak możliwości zdalnego wykonania kodu. Podatne są zarówno IKEv1, jak i IKEv2. Podatność jest wykorzystywalna tylko wtedy, gdy zarówno system operacyjny, jak i libreswan działają w trybie FIPS i załadowany jest co najmniej jeden certyfikat CA. Ładunek CERT jest przetwarzany przed uwierzytelnieniem peer, więc do wykorzystania nie są potrzebne żadne poświadczenia. Konfiguracje używające tylko uwierzytelniania PSK bez załadowanych certyfikatów CA w bazie NSS nie są podatne.

FeatherPanel przed wersją 1.3.7.10 nie waliduje uprawnień w handlerze updateSubuser w SubuserController, co pozwala uwierzytelnionym subuserom na modyfikowanie własnych rekordów uprawnień. Subuser z minimalnymi uprawnieniami może wysłać spreparowane żądanie, aby przyznać sobie pełną kontrolę nad serwerem, umożliwiając nieautoryzowany dostęp do wrażliwych danych, kopii zapasowych i konfiguracji serwera.

APITable do wersji 1.13.0-beta.1 udostępnia wewnętrzny punkt końcowy loadOrSearch organizacji bez uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na pobieranie nazw członków, adresów e-mail i hierarchii zespołów. Atakujący mogą wysyłać zapytania do punktu końcowego z identyfikatorami przestrzeni uzyskanymi z udostępnionych linków lub publicznych szablonów, aby wyliczyć pełny katalog członków dowolnego obszaru roboczego.

ION-DTN przed wersją 4.2.0 zawiera podatność odczytu poza zakresem w funkcji decodeSdnv, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt pamięci poprzez wysyłanie skróconych wartości SDNV. Atakujący może wysłać datagram UDP do portu wejściowego usługi LTP ze skróconym SDNV, aby wywołać odczyty do dziewięciu bajtów poza granicami bufora i niedomiar liczników bajtów.

Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/edit.php komponentu Autocomplete Workflow. Manipulacja argumentem firstname powoduje cross site scripting. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Podatność wykryto w OpenCart 4.1.0.3/4.1.0.4. Dotyczy ona nieznanej funkcji w pliku catalog/controller/account/address.php komponentu Autocomplete Workflow. Manipulacja argumentem address_1 prowadzi do cross site scripting. Atak może być uruchomiony zdalnie. Exploit został upubliczniony i może być użyty. Producent został wcześnie poinformowany, ale nie odpowiedział.

Wykryto podatność w aplikacji AirAsia MOVE do wersji 12.47.1 na Androidzie. Problem dotyczy funkcji com.airasia.core.utils.RealPathUtil.getRealPath komponentu com.airasia.mobile. Manipulacja argumentem _display_name prowadzi do przejścia ścieżki. Atak wymaga podejścia lokalnego. Exploit jest już publiczny i może być użyty. Dostawca został wcześnie poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.

Znaleziono błąd w przepływie pierwszego logowania brokera w usłudze zarządzania tożsamością Keycloak. Gdy użytkownik łączy konto dostawcy tożsamości społecznościowej ze swoim lokalnym kontem, generowany dowód weryfikacji nie jest ściśle powiązany z konkretną tożsamością upstream, która jest weryfikowana. Pozwala to atakującemu z innym kontem u tego samego dostawcy społecznościowego na przechwycenie procesu i powiązanie własnego konta z profilem ofiary, uzyskując nieautoryzowany dostęp.