Katalog podatności CVE

Błąd logiki wyskakującego okna w pewnej funkcji trybu dziecięcego pozwala użytkownikom ominąć weryfikację hasła i używać szybkich aplikacji poza aplikacją.

Podatność w Katello, gdzie API historii widoku zawartości (Content View History API) nie egzekwuje prawidłowo autoryzacji podczas uzyskiwania dostępu do widoku zawartości określonego przez użytkownika. Uwierzytelniony użytkownik z uprawnieniami do przeglądania widoków zawartości w jednej organizacji może uzyskać dostęp do historii cyklu życia widoku zawartości należącego do innej organizacji, podając jego identyfikator w dotkniętym punkcie końcowym API. Może to prowadzić do nieautoryzowanego ujawnienia informacji o cyklu życia widoku zawartości, w tym zdarzeń publikacji i promocji, powiązanych użytkowników i znaczników czasu.

Wtyczka Simple Newsletter Plugin dla WordPressa przed wersją 4.3.3 nie weryfikuje, czy żądający jest subskrybentem wymienionym w publicznym żądaniu przed wyświetleniem zapisanych danych tego subskrybenta, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie danych osobowych subskrybenta wraz z kluczem upoważniającym do zmian w jego rekordzie.

Wtyczka RegistrationMagic dla WordPressa przed wersją 6.0.9.4 nie sanityzuje i nie escapuje parametru przed użyciem w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka Stripe Payment Forms by WP Full Pay przed wersją 8.5.1 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta, zanim na niej zadziała. Pozwala to użytkownikowi z potwierdzoną sesją portalu na anulowanie, reaktywację lub modyfikację subskrypcji należących do innych klientów.

Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.1 nie weryfikuje poprawnie, czy sesja portalu klienta zakończyła krok potwierdzenia przed zwróceniem danych, co pozwala nieuwierzytelnionym użytkownikom na odczytanie danych subskrypcji i rozliczeń innego klienta.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa przed wersją 8.9.3 nie sanityzuje referencji do obrazu dostarczonej przez użytkownika przed użyciem jej jako źródła przeniesienia pliku, co pozwala użytkownikom z poziomem subskrybenta na przenoszenie dowolnych plików obrazów czytelnych dla serwera do publicznie dostępnego katalogu oraz usuwanie ich z pierwotnej lokalizacji.

Wtyczka Kirki dla WordPressa przed wersją 6.0.14 nie przeprowadza kontroli uprawnień na niektórych punktach końcowych jednej ze swoich publicznych akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie adresów e-mail zarejestrowanych użytkowników i autorów komentarzy, a także niepublicznych treści stron i ustawień.

Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.

Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.

Wtyczka Order Tip for WooCommerce dla WordPressa przed wersją 1.6.0 nie sprawdza uprawnień użytkownika żądającego usunięcia pliku ani nie ogranicza ścieżki, która może zostać usunięta, co pozwala użytkownikom z rolą Shop Manager i wyżej na usuwanie dowolnych plików na serwerze, co może prowadzić do przejęcia witryny.

Wtyczka AI Engine przed wersją 3.7.2 nie przeprowadza kontroli autoryzacji na jednej z funkcji przeznaczonych tylko dla administratorów, polegając zamiast tego na tokenie wydawanym anonimowym odwiedzającym. Pozwala to nieuwierzytelnionym atakującym na uruchamianie własnych zapytań AI przeciwko skonfigurowanemu kontu dostawcy właściciela witryny.

Wtyczka AI Engine dla WordPressa przed wersją 3.7.2 nie ogranicza adresu URL podanego przez wywołującego podczas mapowania go na lokalną ścieżkę pliku przed odczytaniem pliku i przesłaniem jego zawartości do zewnętrznej usługi. Pozwala to użytkownikom z kontem subskrybenta na odczyt dowolnych plików z serwera i ich eksfiltrację poza host. Osiągnięcie podatności na poziomie subskrybenta wymaga włączenia niepublicznej funkcji API; w przeciwnym razie problem jest osiągalny przez administratora, co w multisite pozwala administratorowi podwitryny niebędącemu superadministratorem na odczyt współdzielonej konfiguracji i jej sekretów.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie sprawdza, czy użytkownik żądający aktywności jest jej właścicielem w jednej z tras API REST. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt historii aktywności innych użytkowników wraz z ich adresami e-mail oraz szczegółami projektów, do których nie ma dostępu.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ogranicza kilku tras API REST do projektów, do których użytkownik należy. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, odczyt treści zadań i adresów e-mail użytkowników z innych projektów oraz modyfikację tablic zadań w innych projektach.

Wtyczka Project Manager dla WordPressa przed wersją 4.0.7 nie ma żadnej kontroli autoryzacji na swoich trasach importu, co pozwala nieuwierzytelnionym użytkownikom na tworzenie kont WordPress z hasłem znanym atakującemu, omijając ustawienia rejestracji witryny.

Wtyczka Pods dla WordPressa przed wersją 3.3.9.1 nieprawidłowo porównuje wywołanie zwrotne wyświetlania z listą zablokowanych funkcji, co pozwala użytkownikom z rolą autora i wyżej na wykonanie dowolnego kodu na serwerze. Dotyczy to tylko witryn korzystających z trybu ograniczonego wywołania zwrotnego, który jest domyślny, gdy pierwsza wersja Pods była starsza niż 3.1.

Funkcja mp_SetEnddisc() kopiuje wartość punktu końcowego PSN dostarczoną przez użytkownika bez walidacji długości, co pozwala na przepełnienie bufora przez interfejs poleceń ppp(8). Lokalny użytkownik z dostępem do interfejsu poleceń ppp(8) może spowodować awarię ppp(8) lub potencjalnie wykonać dowolny kod jako root.

Funkcja LcpDecodeConfig() nie sprawdzała długości otrzymanych opcji dyskryminatora punktu końcowego względem minimalnej wymaganej przez RFC 1717. Zbyt krótkie opcje powodowały zapis poza dozwolonym obszarem pamięci. Złośliwy peer PPP może wykorzystać tę podatność do zawieszenia ppp(8) lub potencjalnie wykonania dowolnego kodu jako root.

Funkcja mp_Enddisc() używała nieprawidłowych obliczeń długości podczas formatowania adresów dyskryminatora punktu końcowego do wyświetlenia, co pozwalało otrzymanej opcji punktu końcowego na przepełnienie globalnego bufora wynikowego. Złośliwy peer PPP może zawiesić ppp(8) lub potencjalnie wykonać dowolny kod jako root.