Katalog podatności CVE

Dodatek click5 CRM do WPForms (do wersji 1.0.3) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Dodatek click5 CRM do Ninja Forms (do wersji 1.0.1) nie sanityzuje i nie escapuje treści przesłanych przez nieuwierzytelniony punkt końcowy przed ich wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS, który może być wykorzystany przeciwko użytkownikom z wysokimi uprawnieniami, takim jak administrator.

Wtyczka Tcard WP (do wersji 1.8.0) nie sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL w jednej z nieuwierzytelnionych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Wtyczka WooCommerce Bookings dla WordPressa przed wersją 3.11.0 nie ogranicza wartości dostarczonej przez użytkownika przed użyciem jej do alokacji pamięci w jednej z nieuwierzytelnionych akcji AJAX, co pozwala nieuwierzytelnionym atakującym na wyczerpanie pamięci serwera i spowodowanie Denial of Service pojedynczym żądaniem.

Wtyczka WeddingCity Lite dla WordPressa do wersji 1.0.4 nie przeprowadza żadnych kontroli autoryzacji ani poprawności przed usuwaniem postów, stron i załączników multimedialnych, co pozwala nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych treści w całej witrynie.

Wtyczka WordPress Envira Gallery w wersji przed 1.16.2 nie weryfikuje, czy użytkownik posiada uprawnienia zarezerwowane przez WordPress do instalowania wtyczek, przed przetwarzaniem żądania instalacji przez kreatora konfiguracji. Administrator podstrony Multisite może zainstalować dowolną wtyczkę z WordPress.org do współdzielonego katalogu wtyczek sieci, co jest uprawnieniem zarezerwowanym dla Super Admina sieci.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków SQL injection.

Wtyczka WordPress Mobile builder w wersji do 1.4.2 włącznie nie ogranicza prawidłowo, które klucze meta użytkownika zalogowany użytkownik może aktualizować przez jedną z jej tras REST. Umożliwia to każdemu użytkownikowi z samodzielnie zarejestrowanym kontem, np. klientowi, przyznanie sobie roli administratora.

Wtyczka WordPress Prenotazioni w wersji do 1.7.5 włącznie nie posiada kontroli autoryzacji ani CSRF podczas zapisywania ustawień, a także nie escapuje niektórych z nich przy ich wyświetlaniu. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzanie ataków Stored Cross-Site Scripting wymierzonych w administratorów i odwiedzających witrynę.

W Studio-Saelix Sencho do wersji 0.94.1 wykryto podatność w pliku /api/auth/login (komponent Login Endpoint). Manipulacja argumentem X-Forwarded-For prowadzi do nieprawidłowego uwierzytelniania, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; poprawka nosi nazwę 79b86ddcd4aefdd6941f098e35990ab397b13c72.

Wukong_HRM do commita 186115e zawiera podatność braku autoryzacji, ponieważ EmployeeAspect przypisuje każdemu wywołującemu rolę administratora HR, a kontrole zakresu danych w EmployeeUtil zwracają wszystkich pracowników. Każdy uwierzytelniony pracownik o niskich uprawnieniach może odczytywać odcinki wypłat, rekordy wynagrodzeń, karty bankowe i dane osobowe, edytować karty bankowe oraz usuwać pracowników, działy i umowy w całej firmie.

Wtyczka WordPress MultiVendorX do wersji 5.0.19 zawiera podatność nieprawidłowej autoryzacji, która pozwala kontom sprzedawców modyfikować ustawienia całego marketplace poprzez endpoint REST settings. Atakujący z rolą store_owner może wysyłać żądania POST do /wp-json/multivendorx/v1/settings, chronione jedynie uprawnieniem edit_stores, aby nadpisać ustawienia prowizji, wypłat i onboardingu.

ImageMagick na Windows do wersji 7.1.2-33 i 6.9.13-58 zawiera podatność niekontrolowanej ścieżki wyszukiwania w funkcji NTGhostscriptEXE(), która uruchamia gswin64c.exe po samej nazwie, gdy Ghostscript nie jest zarejestrowany. Atakujący może umieścić złośliwy plik gswin64c.exe w katalogu roboczym, aby wykonać kod z uprawnieniami ImageMagick podczas konwersji plików PDF, PostScript lub EPS.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze passApply kontrolera SysTenantController, która pozwala każdemu uwierzytelnionemu użytkownikowi zatwierdzać wnioski o uprawnienia administratora dzierżawy. Atakujący może złożyć wniosek przez doApplyTenantPackUser i zatwierdzić go przez PUT /sys/tenant/passApply, uzyskując uprawnienia administratora w dowolnej dzierżawie.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w endpointcie saveDeptRolePermission kontrolera SysDepartPermissionController, która pozwala każdemu uwierzytelnionemu użytkownikowi modyfikować uprawnienia ról działów. Atakujący z niskimi uprawnieniami może przesłać wartości roleId i permissionIds, aby nadać dowolne uprawnienia do menu lub przycisków, eskalując uprawnienia lub odbierając je innym użytkownikom.

JeecgBoot do wersji 3.9.5 zawiera podatność braku autoryzacji w handlerze deleteBatch kontrolera SysLogController, która pozwala każdemu uwierzytelnionemu użytkownikowi usuwać wpisy dziennika audytu systemu. Atakujący z niskimi uprawnieniami może wysłać żądanie DELETE z parametrem ids ustawionym na allclear, aby wyczyścić całą tabelę sys_log i zatrzeć ślady audytu wszystkich użytkowników.

Motyw Educavo w wersjach do 3.4.2 zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka LMS w wersjach do 8.3 zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka FoodBakery w wersjach do 4.6 zawiera podatność umożliwiającą subskrybentowi usunięcie dowolnego pliku. Podatność pozwala użytkownikowi z niskimi uprawnieniami na usuwanie plików, do których nie powinien mieć dostępu.

Motyw Ambient w wersjach do 1.7 zawiera podatność Local File Inclusion (LFI), którą może wykorzystać nieuwierzytelniony atakujący. Podatność pozwala na dołączenie lokalnych plików serwera do odpowiedzi aplikacji.