Katalog podatności CVE

OpenAM przed wersją 16.1.3 zawiera podatność na nieuwierzytelnioną instancjację dowolnych klas w starszym interfejsie JAX-RPC SOAP. Zdalny atakujący może wysyłać żądania SOAP do /jaxrpc/* z niezweryfikowanym identyfikatorem sesji i wybraną nazwą klasy, co może doprowadzić do awarii serwera, badania classpath lub potencjalnie wykonania kodu.

W Bouncy Castle dla Java przed wersją 1.86 stwierdzono podatność polegającą na akceptowaniu obciętych wiadomości OpenPGP bez zgłaszania błędu. W ścieżce SEIPD wersji 1 nie przeprowadzano żadnej kontroli integralności, a w ścieżce AEAD (SEIPD v2 i v5) pomijano tag uwierzytelniający, co skutkowało cichym odrzuceniem pakietów po literale. Problem dotyczy również wersji LTS przed 2.73.13 oraz FIPS (BC-FJA) przed wskazanymi wersjami, ale tylko w ścieżce AEAD.

W bibliotece Bouncy Castle for Java przed wersją 1.86 funkcja BLS12_381BasicScheme.keyValidate akceptowała klucze publiczne zbudowane na obcej krzywej ECC, która jedynie dzieli charakterystykę pola z BLS12-381. Pozwalało to na weryfikację zagregowanych podpisów zawierających fałszywego sygnatariusza, mimo braku podpisu dla danej pary klucz-wiadomość.

W Bouncy Castle for Java przed wersją 1.86 walidacja listy propozycji w zewnętrznym commicie MLS (RFC 9420) nie sprawdzała, czy usuwany liść faktycznie należy do dołączającego. Brak tej weryfikacji pozwalał każdej osobie posiadającej publiczne GroupInfo grupy na wysłanie commitu z propozycją Remove wskazującą dowolnego członka, co skutkowało jego usunięciem i przejęciem jego miejsca w drzewie ratchet. Poprawka wymusza zgodność poświadczenia usuwanego liścia z poświadczeniem nowego liścia dołączającego po obu stronach.

W Bouncy Castle dla Java przed wersją 1.86, obie kopie klasy PKIXCertPathReviewer (org.bouncycastle.pkix.jcajce oraz starsza org.bouncycastle.x509) nie stosowały ograniczeń nazw X.509 do certyfikatu końcowego (liścia). Sprawdzenie checkNameConstraints pomijało indeks zero (certyfikat docelowy), przez co testy poddrzew dozwolonych i wykluczonych z RFC 5280 sek. 6.1.3 (b) i (c) nie były wykonywane dla nazwy subject DN i subjectAltName liścia. W rezultacie łańcuch z naruszonymi ograniczeniami nazw był raportowany jako prawidłowy (isValidCertPath() zwracało true z pustą listą błędów), podczas gdy CertPathValidator odrzucał ten sam łańcuch.

W Bouncy Castle for Java przed wersją 1.86 parser strumieniowy CMS AuthenticatedData akceptował komunikaty, w których pola digestAlgorithm i authAttrs były niespójne co do obecności uwierzytelnionych atrybutów. Parser podejmował decyzję na podstawie samego digestAlgorithm, przez co mógł zweryfikować MAC treści i zwrócić atrybuty przez getAuthAttrs() jako uwierzytelnione, mimo że MAC nigdy ich nie obejmował. Problem dotyczy również wersji LTS przed 2.73.13 oraz wydań FIPS (BC-FJA) przed odpowiednimi wersjami bcpkix-fips i bcutil-fips.

W Bouncy Castle for Java przed wersją 1.86 wysokopoziomowe API OpenPGP akceptowało podpis danych wykonany przez podklucz podpisujący, którego sygnatura wiążąca podklucz nie zawierała osadzonej sygnatury Primary Key Binding (cross-certification), gdy w tej sygnaturze pominięto podpakiet Key Flags. Metoda isSigningKey() dziedziczyła flagi SIGN_DATA z klucza głównego, podczas gdy verifyEmbeddedPrimaryKeyBinding() odczytywała tylko podpakiety sygnatury wiążącej i uznawała podklucz za niepodpisujący, przez co ten sam podklucz był jednocześnie zdolny do podpisywania i zwolniony z wymogu cross-certification.

W bibliotece Bouncy Castle dla Javy przed wersją 1.86, wysokopoziomowe API OpenPGP akceptowało certyfikację lub delegację zaufania od dowolnego klucza składowego certyfikatu wydającego, bez wymogu posiadania przez ten klucz uprawnienia do certyfikowania. Atakujący mógł wykorzystać podklucz z ograniczonymi uprawnieniami (np. tylko do podpisywania lub szyfrowania) do wystawienia ważnej certyfikacji tożsamości lub delegacji zaufania, co skutkowało przypisaniem tych działań do klucza głównego.

W Bouncy Castle dla Java LTS przed wersją 2.73.13, natywne szyfry pakietowe dla AES-CBC, CCM, CFB, CTR, GCM i GCM-SIV zwalniały tablice klucza, IV i dodatkowych danych uwierzytelniających za pomocą JNI ReleaseByteArrayElements w trybie 0, co powodowało skopiowanie danych z powrotem do tablicy Java. Gdy aplikacja używała tej samej tablicy jako wejścia i wyjścia (np. szyfrowanie w miejscu na kluczu), późniejsze zwolnienie w trybie 0 nadpisywało zaszyfrowane dane oryginalnym kluczem, co prowadziło do ujawnienia klucza zamiast szyfrogramu. Poprawka polega na zwalnianiu tablic wejściowych z JNI_ABORT, aby nie kopiować ich z powrotem.

Wtyczka WPC Product Options dla WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez klucz tablicy wpolu nazwy multipart w wszystkich wersjach do 4.0.5 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak jest możliwy przez gościnne zamówienie bez uwierzytelnienia, ponieważ złośliwy payload jest osadzony w nazwie pola Content-Disposition zaczynającej się od 'wpcpo-'.

Wtyczka WP Visitor Statistics (Real Time Traffic) dla WordPressa jest podatna na SQL Injection przez parametr 'fullRef' w wszystkich wersjach do 8.7 włącznie, z powodu niedostatecznego escapingu i braku przygotowania zapytania SQL. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Jest to SQL Injection drugiego rzędu: atakujący wysyła spreparowany URL referera do punktu śledzenia wmcTrack, który zapisuje surową wartość do tabeli wp_logVisit, a wstrzyknięcie jest wyzwalane, gdy administrator przegląda panel Traffic Sources.

Wtyczka Nelio Content – Editorial Calendar & Social Media Auto-Posting dla WordPressa jest podatna na obejście autoryzacji w wszystkich wersjach do 4.5.0 włącznie, z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej trwałe usunięcie dowolnych wielokrotnego użytku wiadomości społecznościowych (nc_reusable_social post), w tym tych utworzonych przez administratorów lub innych uprzywilejowanych użytkowników.

Wtyczka Mail logging – WP Mail Catcher dla WordPressa jest podatna na Stored Cross-Site Scripting przez komunikat błędu PHPMailer 'wp_mail_failed' w wszystkich wersjach do 2.1.12 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga osobno zainstalowanej wtyczki, takiej jak Contact Form 7, która przekazuje nieuwierzytelnione dane wejściowe do pól poczty, których treść PHPMailer umieszcza w komunikacie błędu.

Wtyczka WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System dla WordPressa jest podatna na Local File Inclusion w wszystkich wersjach do 3.0.18 włącznie przez funkcję (template scope). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej dołączanie i wykonywanie dowolnych plików .php na serwerze, co pozwala na wykonanie dowolnego kodu PHP w tych plikach. Może to być użyte do obejścia kontroli dostępu, uzyskania wrażliwych danych lub osiągnięcia wykonania kodu, jeśli pliki .php mogą być przesłane i dołączone.

Wtyczka Smart Manager dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'access_privileges' w wersjach do 8.97.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy tylko wtedy, gdy administrator zapisał konfigurację listy odmów opartą na rolach, która nie blokuje wewnętrznego modułu 'access-privilege'.

Wtyczka Visitor Traffic Real Time Statistics dla WordPressa jest podatna na przechowywane ataki XSS (DOM-based) przez nagłówek HTTP 'X-Real-IP' w wersjach do 8.16 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak nie wymaga uwierzytelnienia, nonce ani żadnych uprawnień.

Wtyczka Simple Membership dla WordPressa jest podatna na nieautoryzowaną modyfikację danych i ujawnianie wrażliwych informacji w wersjach do 4.8.3 włącznie przez punkty końcowe resend-activation i email-activation. Nieuwierzytelnieni atakujący mogą przekierować e-mail aktywacyjny oczekującego członka, a także e-mail z nazwą użytkownika i hasłem w postaci zwykłego tekstu, na wybrane przez siebie adresy, a następnie aktywować konto bez zgody członka.

Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.

Wtyczka Transliterator dla WordPressa jest podatna na przechowywane ataki XSS przez treść komentarzy z użyciem przewidywalnego placeholderu {rstr_keep} w wersjach do 2.5.8 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload przetrwa sanitizację komentarzy WordPressa, ponieważ używane tagi i atrybuty są dozwolone przez listę kses.

Wtyczka SEOPress dla WordPressa jest podatna na przechowywane ataki XSS przez wyświetlaną nazwę autora w wersjach do 10.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga skonfigurowania wymiaru niestandardowego 'Track Authors' w ustawieniach Google Analytics 4 lub Matomo oraz możliwości publikowania treści przez atakującego.