Katalog podatności CVE

Brak autoryzacji i ujawnienie wrażliwych informacji w interfejsach API związanych z danymi użytkownika (userdata) w Apache CloudStack. Kilka API, w tym deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine i updateVirtualMachine, ma brakujące lub niewystarczające walidacje kontroli dostępu, co może pozwolić na dostęp między dzierżawcami/kontami do zasobów userdata innych dzierżawców. Problem dotyczy wersji od 4.18.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0. API deleteCniConfiguration, wprowadzone w 4.21.0.0, również wykazuje podobne zachowanie.

Podatność SSRF przez rozwiązywanie adresów URL Metalink oraz zdalne wykonanie kodu (RCE) na hiperwizorze KVM. Uwierzytelniony dzierżawca może zarejestrować szablon wskazujący na plik metalink kontrolowany przez atakującego, zawierający wewnętrzne cele. Secondary Storage VM pobierze dane i zapisze je jako plik szablonu, który może być później pobrany przez normalne API. Ponadto, uwierzytelniony dzierżawca z domyślną rolą User może wykonać dowolne polecenia powłoki jako root na hoście KVM, na którym działają maszyny wirtualne innych dzierżawców. Problem dotyczy wersji od 4.14.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Podatność wstrzykiwania poleceń systemu operacyjnego (OS Command Injection) w wtyczce dostawcy kopii zapasowych NAS w Apache CloudStack. API addBackupRepository (dostępne od 4.20.0.0) i updateBackupRepository (wprowadzone w 4.22.0.0) akceptują nieoczyszczone opcje poleceń dla repozytorium kopii zapasowych. Złośliwe konto operatora może wykorzystać to do wstrzyknięcia dowolnych poleceń, które wykonują się na hoście KVM, gdy jakiekolwiek konto wykona przywracanie kopii zapasowej. Problem dotyczy wersji od 4.20.0.0 do 4.20.3.0 oraz od 4.21.0.0 do 4.22.1.0.

Wtyczka Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code dla WordPressa do wersji 4.8.6 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_email_otp_return() zwraca sekretny token logowania w odpowiedzi na publicznie dostępne żądanie OTP, zamiast wysyłać go tylko na adres e-mail użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator, jeśli znają jego adres e-mail.

Podatność na cross-site scripting w aplikacji Miraikan Assist App. Wykorzystanie tej podatności może pozwolić na wykonanie dowolnego skryptu w komponencie przeglądarki (WebView) działającym na dotkniętym produkcie, co może prowadzić do zmiany wyświetlanej treści.

Brak uwierzytelniania dla krytycznej funkcji w IKAS Technology Inc. Rush pozwala na fałszowanie źródła danych. Problem dotyczy wersji Rush do 21082026. Producent został poinformowany, ale produkt nie jest już wspierany.

Podatność typu Execution after redirect (EAR) w panelu administracyjnym ArchitectPanel Web Admin Panel firmy FuyaWeb Internet and Informatics Services umożliwia obejście uwierzytelniania. Problem dotyczy wersji do 28072026.

Wtyczka AI Engine dla WordPressa przed wersją 3.6.1 nie weryfikuje, czy żądający użytkownik jest autoryzowany do działania na docelowym koncie przed wykonaniem uprzywilejowanych operacji zarządzania użytkownikami, co pozwala użytkownikom z rolą Administratora w podstronie Multisite na przejęcie dowolnego konta w sieci, w tym konta Administratora Sieci.

Wtyczka Duplicate Post dla WordPressa przed wersją 1.5.6 nie sprawdza uprawnień użytkownika przed zwróceniem danych posta, co pozwala użytkownikom z delegowaną rolą na odczyt treści, metadanych i haseł postów, do których nie mają dostępu, w tym prywatnych i szkicowych treści innych użytkowników.

Wtyczka Duplicate Post dla WordPressa przed wersją 1.5.6 nie sprawdza, czy użytkownik może odczytać treść posta przed jego zduplikowaniem, co pozwala użytkownikom z delegowaną rolą na ponowne opublikowanie posta chronionego hasłem innego użytkownika jako publicznie czytelnego.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie waliduje końcowej nazwy przesłanego pliku po usunięciu z niej znaków, co pozwala nieuwierzytelnionym użytkownikom obejść ograniczenia typów plików i wykonać dowolny kod na serwerze.

Wtyczka Tamara Checkout dla WordPressa do wersji 1.9.9.20 nie weryfikuje klucza zamówienia, nonce ani żadnych uprawnień na publicznych URL-ach zwrotnych płatności (anulowanie/niepowodzenie), zmieniając status zamówienia WooCommerce wyłącznie na podstawie podanego przez atakującego numerycznego identyfikatora zamówienia. Nieuwierzytelniony atakujący może anulować lub oznaczyć jako nieudane dowolne zamówienia w sklepie poprzez enumerację identyfikatorów, wywołując skutki uboczne w postaci zwolnienia zapasów i powiadomień.

Wtyczka Media Library Assistant dla WordPressa przed wersją 3.40 nie waliduje parametru wyszukiwania przed użyciem go w zapytaniu SQL w jednym z handlerów zapytań biblioteki multimediów, co pozwala użytkownikom z rolą Autor na wstrzyknięcie SQL.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie ogranicza dostępu do konfiguracji prowizji dla poszczególnych sprzedawców, zwracanej przez jeden z nieuwierzytelnionych punktów końcowych REST sklepu, co pozwala każdemu nieuwierzytelnionemu użytkownikowi na ujawnienie typu prowizji sprzedawcy oraz, gdy skonfigurowano prowizję opartą na kategoriach, stawek prowizji dla kategorii i domyślnych.

Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie ucieka jednego ze swoich ustawień przed użyciem go jako nazwy tagu HTML w danych wyjściowych front-endu, co pozwala użytkownikom z dostępem administratora na wstrzykiwanie dowolnych skryptów internetowych, które wykonują się na każdej stronie front-endu renderującej pole przesyłania plików.

Wtyczka NewPath WildApricotPress Add-on dla WordPressa do wersji 1.0.0 nie egzekwuje prywatności pól przeznaczonych tylko dla członków na nieuwierzytelnionej trasie REST, co pozwala anonimowym odwiedzającym na odczyt adresów e-mail i numerów telefonów członków, które są skonfigurowane jako widoczne tylko dla członków.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.