Katalog podatności CVE

Parser zapytań FIQL w Apache CXF ma podatność w sposobie wyszukiwania operatorów w wyrażeniach zapytań. Wzorzec wyszukiwania może utknąć próbując wielu kombinacji przy długim ciągu bez operatora, powodując nadmierne zużycie CPU. Atakujący może wysłać spreparowane zapytanie, aby zużyć zasoby CPU serwera, potencjalnie spowalniając lub zatrzymując inne żądania. Poprawka ogranicza wyrażenia FIQL do 4 KiB domyślnie.

Metoda CompressionUtils.inflate() dekompresowała dane DEFLATE kontrolowane przez atakującego bez limitu rozmiaru wyjściowego. Mały (~KB) spreparowany ładunek mógł rozrosnąć się do gigabajtów na stercie. Było to osiągalne przez deszyfrowanie JWE gdy zip=DEF (np. JoseSessionTokenProvider z RSA-OAEP) oraz przez inflację tokenów SAML redirect/POST binding — w obu przypadkach dekompresja następuje przed lub niezależnie od walidacji zaufania. Poprawka dodaje konfigurowalny limit maksymalnego rozmiaru (domyślnie 10 MiB).

Nieprawidłowe egzekwowanie semantyki jednorazowego kodu autoryzacyjnego w dostawcy grantu OAuth2 JPA w Apache CXF pozwala zdalnemu atakującemu uzyskać wiele ważnych tokenów dostępu z jednego kodu autoryzacyjnego poprzez równoczesne żądania wymiany tokenów, które wykorzystują wyścig w nieatomowej operacji find-then-delete na współdzielonej relacyjnej bazie danych w izolacji READ_COMMITTED.

Domyślnie StaxUtils nie nakładał limitu na całkowitą liczbę elementów ani znaków w dokumencie XML. Bardzo duże żądanie mogło zużyć dużo pamięci i CPU podczas parsowania, szczególnie gdy CXF buduje DOM z wejścia (np. SAAJ lub WS-Security), i mogło spowodować denial of service, gdy nie skonfigurowano limitu rozmiaru żądania. Obecnie oba limity mają wartości domyślne: maksymalna liczba elementów to 100 × maxChildElements (domyślnie 5 000 000), a maksymalny rozmiar dokumentu to 256M znaków.

Parser nagłówków części załączników multipart/MTOM w Apache CXF nie egzekwował w pełni limitów rozmiaru i liczby nagłówków. Ograniczenie rozmiaru dotyczyło tylko pojedynczych linii, a nie wartości złożonych z linii kontynuacji ani łącznej wartości powtarzanych nagłówków. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie z bardzo dużymi nagłówkami, powodując niekontrolowaną alokację pamięci i odmowę usługi.

Moduł JAX-RS XML Security w Apache CXF nie weryfikował poprawnie podpisu XML. Interceptory podpisów XML nie zapewniały, że XML przekazany do aplikacji jest objęty podpisem. Atakujący z dokumentem podpisanym przez zaufany klucz może opakować go w niepodpisane treści, które aplikacja uzna za podpisane.

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce Welcart e-Commerce usc-e-shop dla WordPressa, występująca w wersjach do 2.12.3 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Podatność Cross-Site Request Forgery (CSRF) w wtyczce Featured Image from URL (featured-image-from-url) dla WordPressa, występująca w wersjach do 6.0.7 włącznie, pozwala atakującemu na wymuszenie wykonania nieautoryzowanych działań przez zalogowanego użytkownika.

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce NEX-Forms (nex-forms-express-wp-form-builder) dla WordPressa, występująca w wersjach do 9.3.1 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Podatność Reflected Cross-Site Scripting (XSS) w wtyczce FiboSearch (ajax-search-for-woocommerce) dla WordPressa, występująca w wersjach do 1.34.1 włącznie, pozwala atakującemu na wstrzyknięcie złośliwego skryptu do strony.

Podatność Missing Authorization w wtyczce Amelia (ameliabooking) dla WordPressa, występująca w wersjach do 2.4.10 włącznie, pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce Forminator. Dotyczy wersji od n/a do 1.57.2.

Podatność umożliwiająca obejście uwierzytelniania przez spoofing tożsamości w wtyczce GiveWP. Dotyczy wersji od n/a do 4.16.8.1.

Podatność Reflected XSS w wtyczce Simple Payment. Dotyczy wersji od n/a do 2.5.4.

Podatność Blind SQL Injection w wtyczce tagDiv Opt-In Builder. Dotyczy wersji od n/a do 1.7.6.

Podatność Blind SQL Injection w rdzeniu UpSolution Core. Dotyczy wersji od n/a do 9.3.

Podatność Stored XSS w wtyczce Media Library Assistant. Dotyczy wersji od n/a do 3.41.

Podatność Reflected XSS w wtyczce HUSKY. Dotyczy wersji od n/a do 1.4.3.2.

Podatność Blind SQL Injection w wtyczce WPLMS. Dotyczy wersji od n/a do 4.973.

Podatność Blind SQL Injection w wtyczce Taskbuilder. Dotyczy wersji od n/a do 6.0.5.