Katalog podatności CVE

Wtyczka Quill Forms dla WordPressa w wersjach do 5.7.1 włącznie jest podatna na trwałe skryptowanie krzyżowe (Stored XSS) poprzez wartość 'Other' w pytaniu wielokrotnego wyboru. Niewystarczająca sanityzacja danych wejściowych i ucieczka danych wyjściowych pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów, które wykonają się w widoku wyników w panelu administratora.

Wtyczka MgoSync dla WordPressa przed wersją 2.1.7 nie ma kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobranie przechowywanych poświadczeń API WooCommerce, w tym klucza konsumenta i sekretu z uprawnieniami odczytu/zapisu, z skonfigurowanej strony.

Wtyczka VikRentItems Flexible Rental Management System dla WordPressa przed wersją 1.2.4 nie dezynfekuje i nie escapuje niektórych parametrów przed użyciem ich w zapytaniach SQL, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków SQL injection.

Wtyczka Master Blocks dla WordPressa przed wersją 1.5.0 nie posiada autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację jej ustawień, w tym wartości, która jest wypisywana bez escapowania w panelu administracyjnym, prowadząc do Stored XSS wykonującego się w sesji każdego administratora odwiedzającego stronę wp-admin.

Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.13.1 nie escapuje wartości pochodzącej z nazw profili dostarczanych przez użytkownika przed wypisaniem jej w tytule strony i dekoduje encje HTML po tym, jak jej własna sanityzacja już została wykonana, co pozwala nieuwierzytelnionym atakującym, którzy zarejestrują konto, na przechowywanie JavaScriptu, który wykona się, gdy jakikolwiek odwiedzający, w tym administrator, zobaczy ich profil.

Wtyczka Unbounce Landing Pages dla WordPressa przed wersją 1.1.5 nie przeprowadza żadnej kontroli autoryzacji podczas aktualizacji konfiguracji, na której opiera się jej proxy front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na skierowanie tego proxy na kontrolowany przez siebie host i serwowanie dowolnych treści z własnego origin witryny.

Wtyczka Estatik Real Estate Plugin dla WordPressa przed wersją 4.3.5 nie dezynfekuje i nie escapuje kilku wartości zdekodowanych z parametru żądania przed odzwierciedleniem ich w nieuwierzytelnionej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting.

Wtyczka WP Import Export Lite dla WordPressa przed wersją 3.9.35 nie weryfikuje, czy użytkownik uruchamiający import ma uprawnienia do tworzenia lub modyfikowania kont użytkowników i przypisywania ról, co pozwala użytkownikom z delegowanym uprawnieniem WP Import Export Lite przed wersją 3.9.35, którzy nie mogą zarządzać użytkownikami, na tworzenie kont administratorów oraz nadpisywanie danych logowania i ról istniejących kont, w tym administratorów.

Wtyczka Save as PDF Plugin by PDFCrowd dla WordPressa (wersje do 4.6.1 włącznie) pozwala na wywołanie dowolnych funkcji PHP przez atrybut shortcode pdf_created_callback. Funkcja eval_shortcode() kopiuje atrybuty bez sanityzacji, a następnie są one szyfrowane i przekazywane do nieuwierzytelnionego endpointu, gdzie są odszyfrowywane i wywoływane bez sprawdzenia is_callable(). Uwierzytelniony atakujący z poziomem Contributor może wywołać dowolne funkcje PHP.

Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.

Wtyczka Asset CleanUp: Page Speed Booster dla WordPressa (wersje do 1.4.0.5 włącznie) pozwala na przechowywany cross-site scripting przez treść komentarza z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność występuje tylko, gdy włączono combine_loaded_css.

SiYuan do wersji 3.8.4 nie escapuje atrybutów stylu nagłówków podczas renderowania HTML konspektu i zakładek, co pozwala na przechowywany cross-site scripting. Atakujący może dostarczyć spreparowane notatniki lub wywołać endpointy administracyjne, aby wstrzyknąć złośliwe wartości stylu, które wykonają się w rendererze Electron z pełnym dostępem do systemu.

SiYuan do wersji 3.8.4 renderuje nazwy notatników jako surowy HTML w oknie wyboru Daily Note bez escapowania, co pozwala na przechowywany cross-site scripting w rendererze Electron. Atakujący może tworzyć notatniki z ładunkami HTML w nazwach, które wykonają JavaScript z dostępem do Node.js po otwarciu okna wyboru, umożliwiając wykonanie poleceń systemowych.

Użycie po zwolnieniu (use-after-free) w przeglądarce Microsoft Edge (opartej na Chromium) umożliwia nieautoryzowanemu atakującemu lokalne podniesienie uprawnień.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 przetwarzanie DNS-over-HTTP/2 w rust/src/http2/http2.rs zachowuje wcześniej przetworzone zawartości ramek DATA zamiast czyścić wewnętrzny bufor. Wiele ramek DATA z ustawioną flagą EndOfStream może zwiększyć bufor do limitu 65 KiB, powodując ponowne przetwarzanie wszystkich poprzednich zawartości, co prowadzi do kwadratowej złożoności CPU, degradacji przetwarzania pakietów, utraty widoczności monitorowania lub odmowy usługi. Problem naprawiono w wersji 8.0.6.

Acode to zaawansowany edytor tekstu i kodu dla Androida. Od wersji 1.11.6 do 1.12.7 usługa com.foxdebug.acode.rk.exec.terminal.TerminalService jest zadeklarowana jako eksportowana bez uprawnień wiązania, a TerminalService.java nie weryfikuje wywołującego. Każda zainstalowana aplikacja na Androida może związać usługę i wysłać MSG_EXEC z wartością cmd kontrolowaną przez atakującego, którą implementacja terminala przekazuje do ProcessBuilder z sh -c w UID Acode. Pozwala to lokalnej aplikacji bez uprawnień na wykonywanie poleceń z dostępem do prywatnych danych Acode, zdalnych poświadczeń, grantów Storage Access Framework i uprawnień runtime bez dodatkowej interakcji w momencie ataku. Problem naprawiono w wersji 1.12.7.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 parser HTTP/1 ogranicza pracę dekompresji na transakcję, ale nie ogranicza liczby małych bomb kompresyjnych brotli, które pojedynczy przepływ może przesłać. Przy włączonym response-body-decompress-layer-limit, powtarzane skompresowane odpowiedzi powodują, że ścieżki dekompresji w rust/htp wykonują kosztowną pracę dla każdej transakcji, degradując przetwarzanie pakietów i potencjalnie powodując utratę widoczności monitorowania lub odmowę usługi. Problem naprawiono w wersji 8.0.6.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.5 do 8.0.6 parser FTP w src/app-layer-ftp.c może kontynuować alokację transakcji po osiągnięciu app-layer.protocols.ftp.max-tx podczas przetwarzania jednego dużego fragmentu danych poleceń FTP. Przerośnięta lista transakcji jest wielokrotnie przetwarzana z kwadratową złożonością po zdarzeniu too_many_transactions, co pozwala spreparowanemu ruchowi FTP na degradację przetwarzania pakietów, zmniejszenie widoczności monitorowania lub spowodowanie odmowy usługi. Problem naprawiono w wersji 8.0.6.

Suricata to system wykrywania włamań, zapobiegania włamaniom i monitorowania bezpieczeństwa sieci. Od wersji 8.0.0 do 8.0.6 funkcja AppLayerParserSetTransactionInspectId() w src/app-layer-parser.c używa odwróconej ochrony i oznacza tylko już sprawdzone transakcje jako sprawdzone. Na przepływach przekazanych przez regułę pass lub politykę pass-the-flow, wykrywanie jest pomijane, więc ukończone transakcje pozostają nieoznaczone, nigdy nie są zwalniane i są wielokrotnie skanowane. Lista per-flow może rosnąć bez ograniczeń z kwadratowym kosztem czyszczenia, powodując wyczerpanie CPU i pamięci. Problem naprawiono w wersji 8.0.6.