Katalog podatności CVE

Podatność na niewłaściwe zarządzanie uprawnieniami w wtyczce uwierzytelniania dwuskładnikowego w Apache CloudStack, umożliwiająca obejście procesu wyłączania uwierzytelniania dwuskładnikowego. Dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na ujawnienie wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania LDAP w Apache CloudStack podczas wyświetlania listy dostawców LDAP. Konfiguracje LDAP mogą być wyświetlane przez każdego uwierzytelnionego użytkownika z dostępem do API listLdapConfigurations, które jest domyślnie dostępne dla wszystkich ról. Dotyczy wersji od 4.2.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność na przechowywanie wrażliwych informacji w postaci jawnego tekstu w Apache CloudStack w związku z przechowywaniem zadań asynchronicznych (AsyncJob) w bazie danych. Dotyczy wersji od 4.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność ujawnienia wrażliwych informacji nieautoryzowanemu aktorowi w wtyczce uwierzytelniania OAuth w Apache CloudStack podczas wyświetlania listy dostawców OAuth. Problem dotyczy wersji od 4.19.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność typu Server-Side Request Forgery (SSRF) w module webhook Apache CloudStack, możliwa do wykorzystania przez żądania dostarczania webhooków. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Brak autoryzacji i ujawnienie wrażliwych informacji w interfejsach API związanych z danymi użytkownika (userdata) w Apache CloudStack. Kilka API, w tym deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine i updateVirtualMachine, ma brakujące lub niewystarczające walidacje kontroli dostępu, co może pozwolić na dostęp między dzierżawcami/kontami do zasobów userdata innych dzierżawców. Problem dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0. API deleteCniConfiguration, wprowadzone w 4.21.0.0, również wykazuje podobne zachowanie.

Podatność SSRF przez rozwiązywanie adresów URL Metalink oraz zdalne wykonanie kodu (RCE) na hiperwizorze KVM. Uwierzytelniony dzierżawca może zarejestrować szablon wskazujący na plik metalink kontrolowany przez atakującego, zawierający wewnętrzne cele. Secondary Storage VM pobierze dane i zapisze je jako plik szablonu, który może być później pobrany przez normalne API. Ponadto, uwierzytelniony dzierżawca z domyślną rolą User może wykonać dowolne polecenia powłoki jako root na hoście KVM, na którym działają maszyny wirtualne innych dzierżawców. Problem dotyczy wersji od 4.14.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność wstrzykiwania poleceń systemu operacyjnego (OS Command Injection) w wtyczce dostawcy kopii zapasowych NAS w Apache CloudStack. API addBackupRepository (dostępne od 4.20.0.0) i updateBackupRepository (wprowadzone w 4.22.0.0) akceptują nieoczyszczone opcje poleceń dla repozytorium kopii zapasowych. Złośliwe konto operatora może wykorzystać to do wstrzyknięcia dowolnych poleceń, które wykonują się na hoście KVM, gdy jakiekolwiek konto wykona przywracanie kopii zapasowej. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Wtyczka Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code dla WordPressa do wersji 4.8.6 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_email_otp_return() zwraca sekretny token logowania w odpowiedzi na publicznie dostępne żądanie OTP, zamiast wysyłać go tylko na adres e-mail użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator, jeśli znają jego adres e-mail.

Podatność na cross-site scripting w aplikacji Miraikan Assist App. Wykorzystanie tej podatności może pozwolić na wykonanie dowolnego skryptu w komponencie przeglądarki (WebView) działającym na dotkniętym produkcie, co może prowadzić do zmiany wyświetlanej treści.

Brak uwierzytelniania dla krytycznej funkcji w IKAS Technology Inc. Rush pozwala na fałszowanie źródła danych. Problem dotyczy wersji Rush do 21082026. Producent został poinformowany, ale produkt nie jest już wspierany.

Podatność typu Execution after redirect (EAR) w panelu administracyjnym ArchitectPanel Web Admin Panel firmy FuyaWeb Internet and Informatics Services umożliwia obejście uwierzytelniania. Problem dotyczy wersji do 28072026.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.1 nie weryfikuje, czy żądający użytkownik jest autoryzowany do działania na docelowym koncie przed wykonaniem uprzywilejowanych operacji zarządzania użytkownikami, co pozwala użytkownikom z rolą Administratora w podstronie Multisite na przejęcie dowolnego konta w sieci, w tym konta Administratora Sieci.

Wtyczka Duplicate Post dla WordPressa przed wersją 1.5.6 nie sprawdza uprawnień użytkownika przed zwróceniem danych posta, co pozwala użytkownikom z delegowaną rolą na odczyt treści, metadanych i haseł postów, do których nie mają dostępu, w tym prywatnych i szkicowych treści innych użytkowników.

Wtyczka Duplicate Post dla WordPressa przed wersją 1.5.6 nie sprawdza, czy użytkownik może odczytać treść posta przed jego zduplikowaniem, co pozwala użytkownikom z delegowaną rolą na ponowne opublikowanie posta chronionego hasłem innego użytkownika jako publicznie czytelnego.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie waliduje końcowej nazwy przesłanego pliku po usunięciu z niej znaków, co pozwala nieuwierzytelnionym użytkownikom obejść ograniczenia typów plików i wykonać dowolny kod na serwerze.

Wtyczka Tamara Checkout dla WordPressa do wersji 1.9.9.20 nie weryfikuje klucza zamówienia, nonce ani żadnych uprawnień na publicznych URL-ach zwrotnych płatności (anulowanie/niepowodzenie), zmieniając status zamówienia WooCommerce wyłącznie na podstawie podanego przez atakującego numerycznego identyfikatora zamówienia. Nieuwierzytelniony atakujący może anulować lub oznaczyć jako nieudane dowolne zamówienia w sklepie poprzez enumerację identyfikatorów, wywołując skutki uboczne w postaci zwolnienia zapasów i powiadomień.

Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.