Katalog podatności CVE

Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzyknięcie komend w punkcie końcowym /index.php/ajax/get_iodd_port_info, używając poświadczeń użytkownika lub operatora, co pozwala na wykonanie komend z uprawnieniami roota na urządzeniu.

Zdalny atakujący z niskimi uprawnieniami może wykorzystać podatność na wstrzyknięcie komend w punkcie końcowym /index.php/ajax/get_iodd_menu_info, używając poświadczeń użytkownika lub operatora, co pozwala na wykonanie komend z uprawnieniami roota na urządzeniu.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 19.0 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami dewelopera na uruchomienie testowego pipeline'u polityki w projektach w swojej grupie i dostęp do chronionych zmiennych CI/CD zastrzeżonych dla ról z wyższymi uprawnieniami, z powodu niewystarczającej walidacji zakresu.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 15.3 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na nakłonienie docelowego użytkownika do wykonania niezamierzonych żądań HTTP zmieniających stan, z powodu niewłaściwego oczyszczania danych kontrolowanych przez użytkownika w rendererze tabel JSON Markdown.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 18.4.6 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi z powodu niewłaściwych limitów alokacji zasobów w logice obliczania złożoności GraphQL.

Parsowanie XML w QDomDocument jest podatne na zdalnie wyzwalany atak typu odmowa usługi (crash) podczas przetwarzania niezaufanych danych wejściowych.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 18.4.6 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi z powodu niewłaściwych limitów alokacji zasobów w logice obliczania złożoności GraphQL.

Wtyczka WordPress LearnPress w wersji przed 4.4.7 nie escapuje wartości dostarczonej przez użytkownika przed użyciem jej w atrybucie HTML na publicznej stronie. Nieuwierzytelnieni atakujący mogą wykonać dowolny JavaScript w przeglądarce każdego, kto otworzy spreparowany link, w tym zalogowanego administratora. Dotyczy to wyłącznie witryn działających w trybie klasycznym, nieblokowym.

Wtyczka Tutor LMS dla WordPressa przed wersją 4.0.8 nieprawidłowo określa, czy przychodzące żądanie jest skierowane do jej własnego API REST, i nie egzekwuje uprawnień zapisanych dla poświadczenia API. Umożliwia to posiadaczowi klucza tylko do odczytu działanie jako konto administratora, które go wydało.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.8.1 nie normalizuje w spójny sposób adresu e-mail darczyńcy między wartością przechowywaną a wartością używaną później do wyszukania darczyńcy. Umożliwia to niezalogowanym użytkownikom identyfikację jako dowolny darczyńca i ustawienie hasła WordPressa dowolnego konta użytkownika powiązanego z takim adresem, w tym administratora.

Wtyczka Optimole dla WordPressa przed wersją 4.2.12 nieprawidłowo escapuje wartość dostarczoną przez użytkownika przed użyciem jej do zbudowania atrybutu tagu obrazu. Umożliwia to niezalogowanym użytkownikom wstrzyknięcie dowolnych atrybutów do stron serwowanych każdemu odwiedzającemu, co prowadzi do Stored Cross-Site Scripting.

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie oczyszcza i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala niezalogowanym użytkownikom przeprowadzać ataki SQL injection.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje typu, rozszerzenia ani zawartości plików pobieranych z adresu URL podanego przez użytkownika podczas importu. Umożliwia to użytkownikom z uprawnieniem importu zapisanie dowolnych plików, w tym wykonywalnych, na serwerze i osiągnięcie zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie ogranicza, która funkcja PHP może być zastosowana do eksportowanych wartości pól. Umożliwia to użytkownikom z uprawnieniem eksportu wywołanie dowolnych funkcji na kontrolowanych przez nich wartościach, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.34 nie waliduje ścieżki wyjściowej podanej przez użytkownika podczas zapisu plików eksportu. Umożliwia to użytkownikom z uprawnieniem eksportu zapisanie plików o dowolnych nazwach w dowolnych lokalizacjach na serwerze, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress MultiVendorX w wersji przed 5.0.16 nie weryfikuje, czy użytkownik jest właścicielem sklepu, na którym wykonuje operacje w jednej z tras REST API. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, nadpisanie danych dowolnego sklepu i ustawień wypłat oraz zmianę zapisu o jego właścicielu.

Wtyczka Online Scheduling and Appointment Booking System – Bookly dla WordPressa w wersjach do 28.1 włącznie jest podatna na Insecure Direct Object Reference poprzez parametr 'conversation_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczyt pełnego transkryptu rozmowy AI dowolnego klienta — ujawniając imiona, adresy e-mail, numery telefonów i szczegóły wizyt — oraz wstrzykiwanie dowolnych wiadomości do rozmowy ofiary. Ponieważ rozmowy AI są przechowywane bez identyfikatora właściciela, użytkownika lub sesji, a identyfikatory rozmów są kolejnymi liczbami całkowitymi, atakujący może wyliczyć wszystkie rozmowy klientów, zwiększając parametr conversation_id.

Wtyczka Contest Gallery – Upload & Vote Photos, Media, Sell with PayPal & Stripe dla WordPressa w wersjach do 32.0.1 włącznie jest podatna na nieuwierzytelnione dowolne nadpisanie plików z powodu niewystarczającej walidacji ścieżki pliku w parametrze 'baseUrlForFacebook'. Umożliwia to uwierzytelnionym atakującym z uprawnieniami subskrybenta i wyższymi nadpisanie znanych plików, co przy spełnieniu pewnych warunków wstępnych może prowadzić do zdalnego wykonania kodu.

Wtyczka WP-Lister Lite for eBay dla WordPressa w wersjach do 3.8.9 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr żądania AJAX Cron Handler z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Niewystarczająca walidacja danych wejściowych dostarczanych przez dotknięte przepływy zarządzania i konfiguracji VeloCloud Edge może spowodować, że autoryzowane żądanie zarządzania lub wartość konfiguracji zostanie zinterpretowana jako polecenie systemu operacyjnego. Skuteczne wykorzystanie może pozwolić na wykonanie poleceń z podwyższonymi uprawnieniami na dotkniętym VeloCloud Edge.