Katalog podatności CVE

Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.

Wtyczka Forminator Forms – Contact Form, Payment Form & Custom Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole tekstowe rich-text we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Skuteczne wykorzystanie wymaga, aby administrator otworzył zapisany wpis zgłoszenia w widoku Forminator Entries i wszedł w interakcję z umieszczonym linkiem, wówczas jQuery'owy handler kliknięcia WordPress na '.contextual-help-tabs a' zinterpretuje zdekodowany href jako HTML, uruchamiając ładunek atakującego w uwierzytelnionej sesji wp-admin administratora.

Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.316 włącznie jest podatna na dowolne usuwanie plików i katalogów. Podatność wynika z braku kontroli uprawnień w handlerze AJAX `super_save_form`, który pozwala użytkownikom z poziomem Subscriber na tworzenie i modyfikację formularzy oraz włączenie ustawienia `file_upload_submission_delete`, a także z nieodpowiedniego przekazywania wartości `files[].subdir` do funkcji `SUPER_Common::delete_dir()` bez sanityzacji. Ochrona `ABSPATH` może być łatwo ominięta przez podanie wartości `wp-config.php`, co pozwala na rekurencyjne usuwanie plików i katalogów na serwerze, aż do całkowitego usunięcia instalacji WordPressa.

Wtyczka Autoptimize dla WordPressa do wersji 3.1.15.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ścieżkę REQUEST_URI. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Warunkiem wykorzystania jest aktywacja funkcji Critical CSS z poprawnie skonfigurowanym kluczem API.

MISP zawiera podatność polegającą na obejściu autoryzacji w funkcji spłaszczania zdarzeń. Podczas żądania zdarzenia z opcją flatten, kontrola dostępu na poziomie obiektów nie jest ponownie stosowana do atrybutów, co umożliwia nieautoryzowany dostęp do danych. Dodatkowo, początkowa poprawka wprowadziła problem z usuniętymi atrybutami, który został naprawiony w finalnej wersji.

colmux w collectl przed wersją 4.3.20.2 nie sanityzuje sekwencji escape ANSI/VT100 w danych otrzymywanych z zdalnych instancji collectl przed ich wyświetleniem. Pozwala to lokalnemu użytkownikowi na monitorowanym hoście na wstrzyknięcie sekwencji escape do terminala operatora uruchamiającego colmux, poprzez spreparowaną nazwę procesu (argv[0]).

Wtyczka LearnPress – WordPress LMS Plugin dla WordPressa do wersji 4.4.8 włącznie jest podatna na Insecure Direct Object Reference (IDOR) poprzez callback `CourseMaterialTemplate::render_material_items()` wystawiony na publicznym endpointcie `lp-ajax-handle` (load_content_via_ajax). Endpoint nie wymaga nonce ani kontroli uprawnień, a handler `render_material_items()` autoryzuje na podstawie jednego identyfikatora (course_id), podczas gdy pobiera dane materiałów na podstawie drugiego, niezależnego identyfikatora (item_id), bez sprawdzenia, czy lekcja należy do autoryzowanego kursu. Pozwala to nieuwierzytelnionym atakującym na odczyt i pobieranie plików materiałów kursu (ścieżki plików przesłanych i zewnętrznych) należących do lekcji w płatnych kursach lub wymagających zapisu, pod warunkiem, że na stronie istnieje kurs z włączoną opcją 'No Required Enroll' i posiada co najmniej jeden plik materiału.

Wtyczka ByteCoreStack – MCP Connector for AI Tools dla WordPressa do wersji 1.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z narzędzia MCP `wp_update_user_meta` w `execute_tool`, które sprawdza tylko `current_user_can('edit_user', $uid)` – co w rdzeniu WordPressa sprowadza się do uprawnienia `read`, gdy docelowy identyfikator użytkownika jest identyczny z identyfikatorem wywołującego – oraz z niekompletnej listy zablokowanych kluczy meta, która obejmuje tylko `user_pass`, `user_activation_key` i `session_tokens`, pozostawiając klucze `wp_capabilities` i `wp_user_level` całkowicie niezabezpieczone. Pozwala to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej na podniesienie swoich uprawnień do Administratora poprzez wywołanie `wp_update_user_meta` na endpointcie MCP JSON-RPC z `key=wp_capabilities` i dowolną tablicą ról, taką jak `{'administrator': true}`, dla własnego identyfikatora użytkownika.

MISP zawiera podatność w przepływie uwierzytelniania jednorazowym hasłem (OTP), która pozwala na powtórne użycie skonsumowanego tokena HOTP (papierowego) i cofnięcie licznika tokena. Logika weryfikacji HOTP porównywała przesłany token z wartością licznika zapisaną w sesji użytkownika w momencie wprowadzenia hasła, a nie z autorytatywnym licznikiem przechowywanym w bazie danych. Ponieważ licznik zapisany w sesji nie jest aktualizowany po pomyślnym użyciu tokena, atakujący posiadający ważną sesję (hasło już wprowadzone) może ponownie użyć wcześniej spalonego tokena HOTP. Warunkiem jest, że docelowy użytkownik ma włączone uwierzytelnianie dwuskładnikowe HOTP (papierowy token), atakujący posiada ważną sesję, w której krok hasła został już ukończony (krok OTP jest oczekujący), oraz ma dostęp do co najmniej jednej wartości tokena HOTP (np. listy tokenów papierowych). Wpływ: obejście drugiego czynnika uwierzytelniania, umożliwiające nieautoryzowany dostęp do konta MISP, oraz uszkodzenie stanu licznika HOTP, potencjalnie unieważniające kolejne legalne tokeny lub umożliwiające dalsze powtórzenia. Dotyczy wersji <2.5.48.

Wtyczka Payments for Hubtel dla WordPressa przed wersją 1.0.2 nie uniemożliwia publicznego dostępu do dziennika debugowania, w którym zapisuje żądania płatności, w tym poświadczenia API bramki płatniczej sklepu w postaci zwykłego tekstu. Pozwala to nieuwierzytelnionym atakującym na uzyskanie tych poświadczeń.

Wtyczka Five Star Restaurant Reviews dla WordPressa przed wersją 2.3.14 nie odpowiednio escapuje wartości dostarczonej przez użytkownika przed wypisaniem jej do tagu HTML, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego skryptu webowego, który wykona się w przeglądarce każdego, kto da się nabrać na spreparowane żądanie, w tym zalogowanego administratora.

Wtyczka Pro Like Button dla WordPressa przed wersją 2.0 nie odpowiednio sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Wtyczka Extendify dla WordPressa do wersji 3.1.6 włącznie jest podatna na przechowywany atak XSS przez klucz typu bloku 'styles.blocks'. Brak odpowiedniego filtrowania wejścia i kodowania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Podatność wynika z podpięcia funkcji registerIncoming() do rest_request_before_callbacks, która działa przed sprawdzeniem permission_callback, co pozwala na wywołanie podatnego kodu przez nieuwierzytelnione żądania POST, PUT lub PATCH do tras /wp/v2/global-styles.

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nieprawidłowo escapuje dane pochodzące z callbacków płatności przed użyciem ich w zapytaniu SQL. Ponadto, gdy bramka jest włączona bez poświadczeń, integralność tych callbacków może być sfałszowana, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzenie ataków SQL injection.

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie filtruje i nie escapuje danych przechowywanych z callbacków płatności przed ich wyświetleniem na stronie administracyjnej. Ponieważ integralność callbacków może być sfałszowana przy braku poświadczeń, nieuwierzytelnieni użytkownicy mogą przechowywać skrypty, które wykonają się w sesji administratora sklepu.

Comelit Multi-User Gateway dla systemu VIP (model 1456B) w wersjach firmware 2.9.1 i 2.10.0 udostępnia interfejs zarządzania dostępny przez sieć, który nie wymaga uwierzytelnienia. Przez ten interfejs zdalny, nieuwierzytelniony atakujący może odczytać w postaci jawnej wrażliwe dane konfiguracyjne urządzenia, w tym hasło konfiguracji zdalnej.

Comelit Multi-User Gateway dla systemu VIP (model 1456B) w wersjach firmware 2.9.1 i 2.10.0 nie egzekwuje autoryzacji po stronie serwera dla funkcji zmiany hasła administracyjnego. Uwierzytelniony użytkownik może wywołać tę funkcję, aby nadpisać hasło konta instalatora (administratora).

Wtyczka Cache Enabler dla WordPressa przed wersją 1.8.17 nie waliduje adresu URL przed użyciem go do budowy ścieżki w systemie plików w procedurze czyszczenia pamięci podręcznej. Nie ogranicza też usuwania do katalogu cache, co pozwala nieuwierzytelnionym użytkownikom na usuwanie dowolnych plików i katalogów na stronach, gdzie inna wtyczka Cache Enabler przed 1.8.17 przekazuje URL pochodzący z żądania do publicznego hooka czyszczenia cache.

Wtyczki Featured Image from URL (FIFU) dla WordPressa przed wersją 6.0.8 oraz FIFU Premium przed 8.2.8 nieprawidłowo egzekwują nonce REST API, wyłączając sprawdzanie dla całego żądania przy użyciu spreparowanego URL. Może to pozwolić atakującym na nakłonienie zalogowanego administratora do wykonania dowolnej akcji REST API, takiej jak utworzenie nowego konta administratora, poprzez atak CSRF.

Hitachi Coding Software Suite do wersji 3.3.0 zawiera podatność nieprawidłowej autoryzacji, która pozwala nieuprzywilejowanemu użytkownikowi wykonywać operacje na poziomie administratora.