Katalog podatności CVE

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Complianz GDPR/CCPA Cookie Consent Banner dla WordPressa (wersje do 7.5.5 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez zawartość komentarzy i filtr yotu-wp Cookie-Blocker z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Backuply dla WordPressa (wersje do 1.5.8) jest podatna na wstrzyknięcie SQL typu second-order poprzez pole 'Biographical Info'. Wartość jest eksportowana bez zabezpieczeń do zrzutu SQL kopii zapasowej, a przy późniejszym przywracaniu kopii złośliwy ładunek może wykonać dowolne zapytania SQL z pełnymi uprawnieniami bazy danych.

Wtyczka Dark Mode – Improve Accessibility with AI Powered Dark Theme dla WordPressa (wersje do 5.3.17 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut shortcode 'icon_light' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa (wersje do 5.2.1 włącznie) jest podatna na Insecure Direct Object Reference poprzez parametr 'password' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami vendor może zmienić hasło do konta WordPress dowolnego klienta, który złożył co najmniej jedno zamówienie u tego vendora, co umożliwia przejęcie konta klienta.

Wtyczka Cooked – Recipe Management dla WordPressa (wersje do 1.16.1 włącznie) jest podatna na trwały Cross-Site Scripting poprzez zawartość shortcode [cooked-timer] z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wheels CLI w wersjach 4.0.0–4.1.1 niewystarczająco waliduje lub escapuje wartości podane przez użytkownika oraz zawartość pakietów. Może to prowadzić do wykonania poleceń powłoki na hostach wdrożeniowych i w runnerze CI, usunięcia niepożądanych plików, nadpisania plików innych dostawców, zapisu poza projektem, wstrzyknięcia wykonywalnego CFML, przechowywanego XSS oraz zakończenia niepowiązanego procesu.

Wheels w wersjach do 4.1.1 włącznie wyznacza domyślny adres e-mail do zgłaszania błędów produkcyjnych na podstawie nagłówka Host żądania, które uruchamia aplikację. Jeśli nie skonfigurowano jawnego odbiorcy, atakujący może wywołać zimny start i przekierować późniejsze e-maile z błędami na swój adres, ujawniając metadane błędów i żądań, a w niektórych przypadkach także sekrety konfiguracji i dane sesji innych użytkowników. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 3.0.0 do 4.1.1 może ujawnić szczegółowe wyjątki, gdy allowIPBasedDebugAccess=true (domyślnie wyłączone). Żądanie dozwolonego administratora zmienia ustawienia wyświetlania błędów w współdzielonym zakresie aplikacji, a jeśli nakłada się na żądanie nieautoryzowanego klienta, który wywoła błąd, klient ten może otrzymać pełne szczegóły wyjątku, w tym kontekst tagu lub serializowany wyjątek oraz zawarte w nich dane wrażliwe. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 4.0.0 do 4.1.2 używa porównań bez rozróżniania wielkości liter w sprawdzaniu zawierania ścieżek na systemach plików wrażliwych na wielkość liter. Sprawdzenia ścieżek kanonicznych dla wpisów ZIP, mapowań pakietów, zasobów deweloperskich, obrazów i tagów obrazów mogą zaakceptować ścieżki przez istniejące dowiązanie symboliczne do katalogu różniącego się wielkością liter, umożliwiając dostęp poza zamierzonym katalogiem głównym, w tym ograniczone ujawnienie plików. Dodatkowo sprawdzenie wyjścia zrzutu bazy danych CLI może zapisywać poza katalogiem aplikacji do istniejącego zapisywalnego katalogu sąsiedniego różniącego się wielkością liter; wymaga to bramki CLI POST, loopback i hasła. Naprawiono w 4.2.0.

Wheels w wersjach 1.1–4.1.2 rozwiązuje rekordy nestedProperties() na podstawie przesłanego klucza głównego bez sprawdzenia, czy należą do zapisywanego rodzica. Użytkownik może zaktualizować, przepisać lub usunąć rekordy hasMany/hasOne innego rodzica, a także edytować rekordy belongsTo, podając klucz innego powiązanego rekordu.

Wheels w wersjach 4.0.0–4.1.2 udostępnia narzędzia deweloperskie bez hasła pod /wheels/* zdalnym klientom, gdy enablePublicComponent=true (domyślnie w środowisku deweloperskim). W wersji 4.1.2 ograniczenie lokalnego dostępu opiera się na nagłówkach dostarczanych przez klienta bez weryfikacji peera.

Wheels w wersjach 4.0.0–4.1.2 przed 4.2.0 zastępuje warunki zakresu przychodzącego warunkiem klucza głównego w findByKey() i exists(key=). W przypadku exists(key=) w środowisku produkcyjnym z wyłączonymi informacjami o błędach zwracane jest true dla klucza spoza zakresu zamiast zgłoszenia wyjątku.

Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.

Wheels w wersjach od 4.0.6 do 4.1.2 pozwala nieuwierzytelnionemu klientowi przełączyć żądanie w kontekst aplikacji testowej, nawet w środowisku produkcyjnym, poprzez nagłówek X-Wheels-Test-Context, cookie WHEELS_TEST_CONTEXT lub ścieżkę test-runnera w URL. Aplikacja alternatywna używa tej samej konfiguracji, środowiska, źródła danych i ustawień debugowania; nie jest to obejście uwierzytelniania ani eskalacja uprawnień, ale może obejść tryb konserwacji, zapewnić dodatkowe liczniki limitów i wywołać dodatkowe efekty uboczne. Poprawka została wydana w wersji 4.2.0.

Backdrop CMS Core w wersjach 1.35.x przed 1.35.2 i 1.34.x przed 1.34.6 nie waliduje wystarczająco przesyłanych obrazów SVG, aby upewnić się, że nie zawierają niebezpiecznych tagów SVG. Poprzez przesłanie spreparowanego pliku SVG możliwe jest wykonanie skryptu w przeglądarce, gdy obraz jest wyświetlany bezpośrednio pod jego adresem URL. Podatność jest ograniczona, ponieważ Backdrop osadza przesłane obrazy SVG w tagach <img>, co zapobiega wykonaniu skryptu.

Wtyczka Flying Scripts dla WordPressa (wersje do 1.2.4) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek wykorzystuje wyłącznie elementy dozwolone przez kses, a XSS jest wprowadzany po zapisie przez mechanizm przepisywania bufora wyjściowego wtyczki.

Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.2.11) jest podatna na przechowywane XSS poprzez parametr 'media:thumbnail@url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi kontrolować zewnętrzny kanał RSS, który docelowa witryna już zaimportowała.

Wtyczka Colibri Page Builder dla WordPressa (wersje do 1.0.390) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek przechodzi przez rozszerzoną listę dozwolonych komentarzy, a wykonanie następuje, gdy colibri.js odczytuje zapisaną wartość data-target i przekazuje ją do jQuery().

Wtyczka Debloat – Remove Unused CSS, Optimize JS dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na Directory Traversal poprzez parametr 's'. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać dowolne pliki na serwerze, a przy włączonej funkcji Optimize CSS atak może wywołać nieuwierzytelniony użytkownik pojedynczym żądaniem GET.