Katalog podatności CVE

Wtyczka WP Rollback autorstwa Devin Walker zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Problem dotyczy WP Rollback w wersjach od n/a do 3.1.2.

Immich do wersji 3.3.1 zawiera podatność na brak autoryzacji w strumieniu synchronizacji partnerów, która pozwala uwierzytelnionym partnerom odczytywać metadane zasobów w zablokowanych folderach, ponieważ zapytania synchronizacji nie wykluczają widoczności Locked. Atakujący z aktywną relacją partnerską mogą wywołać POST /api/sync/stream z typami PartnerAssetsV2 i PartnerAssetExifsV1, aby uzyskać współrzędne GPS, czasy przechwycenia, opisy i szczegóły aparatu.

Open Source Social Network (OSSN) do wersji 10.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w pliku components/OssnMessages/ossn_com.php, która pozwala uwierzytelnionym użytkownikom odczytywać załączniki prywatnych wiadomości innych użytkowników. Atakujący mogą żądać trasy /messages/attachment/{guid} z sekwencyjnymi lub zgadywanymi identyfikatorami GUID, aby pobrać załączniki z prywatnych rozmów bez weryfikacji nadawcy lub odbiorcy.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na nieskuteczne ograniczanie szybkości, ponieważ wartości TTL throttlera podane w sekundach są interpretowane jako milisekundy. Nieuwierzytelnieni atakujący mogą wysyłać praktycznie nieograniczone żądania do /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP.

Pingvin Share X przed wersją 1.22.0 zawiera podatność na obejście ograniczeń szybkości, która pozwala nieuwierzytelnionym zdalnym atakującym unikać ograniczeń per-IP, ponieważ backend/src/main.ts bezwarunkowo ufa nagłówkom proxy. Atakujący mogą zmieniać sfałszowane wartości X-Forwarded-For wobec /api/auth/signIn, /api/auth/signIn/totp i /api/auth/resetPassword, aby przeprowadzić ataki brute-force na hasła i kody TOTP oraz sfałszować zalogowane adresy IP klientów.

Interfejsy systemowe ZTE Z80 Ultra nie mają solidnej autoryzacji wywołań, z niewystarczającą kontrolą dostępu. Aplikacje innych firm mogą wywoływać te interfejsy przez refleksję i uzyskiwać dostęp do istotnych informacji.

W Progress® Kendo UI for Vue (@progress/kendo-vue-charts) w wersjach od 2.5.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

W Progress® KendoReact (@progress/kendo-react-charts) w wersjach od 1.1.0 do 16.2.0, domyślna etykieta wykresu (tooltip) renderuje sformatowaną wartość punktu jako surowy HTML bez kodowania. Atakujący z niskimi uprawnieniami, który może wpływać na wartość stringową powiązaną z wykresem, może dostarczyć HTML z obsługą zdarzeń wykonujących JavaScript w przeglądarce użytkownika po najechaniu na punkt danych.

Wtyczka PeproDev Ultimate Profile Solutions dla WordPressa do wersji 8.2.36 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'button' shortcode'a 'logout-url'. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributora wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Listdom dla WordPressa do wersji 6.1.2 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek plików w funkcji LSD_Menus_IX_CSV::import. Uwierzytelnieni atakujący z dostępem administratora mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik (np. wp-config.php).

Wtyczka Retainful (Email Marketing for WordPress i WooCommerce) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'data' we wszystkich wersjach do 1.0.10 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Motyw Avada dla WordPress i WooCommerce jest podatny na trwałe skrypty krzyżowe (Stored XSS) poprzez pola kontaktowe w profilu użytkownika (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) w wersjach do 7.16.1 włącznie. Pola te są emitowane w atrybucie href bez odrzucania niebezpiecznych schematów URL, takich jak javascript:.

Wtyczka WP Directory Kit dla WordPress jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez pole profilu 'display_name' (Second-Order) we wszystkich wersjach do 1.5.9 włącznie. Wynika to z niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.

Urządzenie ZTE Z80 Ultra ma podatność na nieautoryzowane ujawnienie informacji. Kontrola dostępu do metod w ramach frameworku jest niewystarczająca, co pozwala atakującemu na odczyt informacji związanych z urządzeniem.

Wtyczka AutomatorWP dla WordPress jest podatna na obejście autoryzacji we wszystkich wersjach do 5.8.4 włącznie. Wynika to z nieprawidłowej weryfikacji, czy użytkownik jest upoważniony do wykonania akcji.

Wtyczka Premium Packages – Sell Digital Products Securely dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'checkout[billing][phone]' (oraz state / taxid / email) we wszystkich wersjach do 7.2.6 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPress jest podatna na trwałe DOM-based Cross-Site Scripting poprzez atrybut 'alt' obrazu w treści postów społeczności we wszystkich wersjach do 1.12.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.

Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPress jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 6.3.1 włącznie. Wynika to z podstawienia nazwy wyświetlanej użytkownika (display_name) do komponowanego znacznika strony bez filtrowania i przetworzenia całości przez do_shortcode().

Wtyczka WPForms dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'attacker-chosen key referenced by the smart tag' we wszystkich wersjach do 2.0.2.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.