Katalog podatności CVE

Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie neutralizuje prawidłowo wartości skryptu przesłanej przez jeden z jej endpointów REST przed zapisaniem i wyświetleniem jej w nagłówku dokumentu podczas renderowania wpisu, co pozwala użytkownikom z rolą co najmniej autora na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie przeprowadza żadnej kontroli autoryzacji na jednej z akcji AJAX dostępnej dla niezalogowanych użytkowników, co pozwala nieuwierzytelnionym atakującym na wymuszenie utworzenia konta o stałej roli autora oraz na wielokrotną rotację hasła aplikacyjnego na dowolnej podłączonej instalacji.

Wtyczka WP YouTube Lyte dla WordPressa przed wersją 1.7.31 nie escapuje niektórych atrybutów bloków osadzania YouTube przed wyświetleniem ich w atrybucie HTML podczas renderowania bloku, co może pozwolić użytkownikom z rolą co najmniej współautora na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Verge3D Publishing and E-Commerce dla WordPressa do wersji 4.13.0 nie ogranicza dostępu do modułu pobierania plików, co pozwala nieuwierzytelnionym użytkownikom na pobieranie plików cyfrowych dołączonych do dowolnego zamówienia bez autoryzacji.

Wtyczka Mailchimp for WooCommerce przed wersją 6.3 nie wymaga uwierzytelnienia ani weryfikacji własności przy wczytywaniu zapisanego koszyka na podstawie identyfikatora pochodzącego z adresu e-mail klienta. Nieuwierzytelniony atakujący znający adres e-mail klienta może potwierdzić, że klient robi zakupy w sklepie, oraz odczytać zawartość jego zapisanego koszyka.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sanityzuje importowanej treści kanału RSS przed zapisaniem jej jako treści wpisu. Umożliwia to użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sprawdza uprawnień przed pobraniem adresu URL podanego przez użytkownika i wyrenderowaniem odpowiedzi. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym wymuszenie na serwerze żądań do zasobów wyłącznie wewnętrznych oraz odczytanie odpowiedzi.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie weryfikuje, czy użytkownik uruchamiający kampanię kanału ma uprawnienia do publikowania treści lub przypisywania wpisów innemu kontu. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym publikowanie wpisów na żywo oraz ustawienie dowolnego zarejestrowanego użytkownika, w tym administratora, jako autora wpisu.

Wtyczka WPeMatico RSS Feed Fetcher przed wersją 2.8.27 nie sprawdza uprawnień ani nie waliduje miejsca docelowego adresu URL kanału podanego przez użytkownika przed pobraniem go po stronie serwera. Umożliwia to użytkownikom z poziomem dostępu Contributor i wyższym wymuszenie na serwerze żądań do zasobów wyłącznie wewnętrznych oraz odczytanie odpowiedzi.

Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie zapobiega deserializacji niezaufanych danych wejściowych oraz nie ogranicza prawidłowo uprzywilejowanej funkcji konserwacyjnej do administratorów. Umożliwia to użytkownikom posiadającym niestandardową uprawnienie do zarządzania rezerwacjami (które administrator musi jawnie przypisać) wstrzykiwanie dowolnych obiektów PHP, nadpisywanie uprzywilejowanych opcji witryny oraz odczyt przechowywanych sekretów integracji.

Wtyczka EmbedPress przed wersją 4.6.7 nie escapuje jednego ze swoich atrybutów bloku przed wyświetleniem go wewnątrz atrybutu HTML. Może to umożliwić użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym wpis.

Wtyczka WebFacing™ przed wersją 5.4 nie ogranicza dostępu do jednego ze swoich dołączonych skryptów oraz nie waliduje ścieżki podanej przez użytkownika przed użyciem jej do dołączenia lokalnego pliku. Umożliwia to nieuwierzytelnionym użytkownikom przeprowadzenie ataku Local File Inclusion.

Wtyczka WordPress UpdraftPlus: WP Backup & Migration Plugin w wersjach przed 1.26.8 oraz przed 2.26.8.26 nie sprawdza uprawnień w procedurze, która wyświetla zapisane ustawienia zdalnej pamięci masowej na stronach administracyjnych, gdy witryna znajduje się w określonym stanie po migracji. W efekcie każdy zalogowany użytkownik, nawet o roli subskrybenta, może odczytać dane uwierzytelniające skonfigurowanych miejsc docelowych kopii zapasowych, takie jak hasła i klucze tajne.

Heym w wersjach 0.0.90 i wcześniejszych zawiera dwie luki w zabezpieczeniach egress SSRF, obie naprawione w app/services/ssrf_guard.py w wersji 0.0.91. Po pierwsze, loader obrazów LLM (_load_image_bytes) pobierał kontrolowane przez wywołującego adresy URL HTTP/HTTPS za pomocą zwykłego httpx.get, stosując tylko sprawdzenie schematu i omijając klienta HTTP z przypiętym egress. Po drugie, _is_public_address odpakowywał tylko adresy IPv6 mapowane na IPv4, więc formy przejściowe IPv6 — prefiks NAT64 64:ff9b::/96, przestarzałe adresy IPv4-compatible ::x.x.x.x oraz 6to4 (2002::/16) — mogły przenosić adresy loopback, RFC1918, link-local lub cloud-metadata IPv4 poza walidację URL i przypięcie IP przy połączeniu.

Platforma automatyzacji przepływów pracy heym przed wersją 0.0.91 przechowuje i zwraca wiele sekretów w postaci zwykłego tekstu, w tym wartości nagłówków webhook, klucze API MCP, tokeny sesji portalu, tokeny JWT wykonań, tokeny interakcji Discord oraz zmienne globalne. Użytkownik z dostępem do odczytu przepływu pracy, członek zespołu lub osoba mająca dostęp do bazy danych, kopii zapasowej lub logów może odzyskać te sekrety i wykorzystać je do wykonywania przepływów pracy lub podszywania się pod właściciela sekretu.

heym przed wersją 0.0.105 nie stosuje zabezpieczeń egress do usług integracyjnych, które używają adresów bazowych dostarczanych z poświadczeniami, co pozwala uwierzytelnionym użytkownikom na obejście ochrony SSRF. Atakujący mogą skonfigurować poświadczenia wskazujące na adresy loopback, prywatne lub metadane chmury i odczytać odpowiedzi wewnętrznych usług zwracane jako wynik węzła przepływu pracy.

heym przed wersją 0.0.105 nie uwzględnia wyniku wyszukiwania autoryzacji poświadczeń w węźle Redis. Gdy _get_accessible_credential zwraca None, węzeł traktuje to jako pustą konfigurację i łączy się z localhost:6379 bez hasła, wykonując żądaną operację. Uwierzytelniony autor przepływu pracy, podając identyfikator poświadczenia, którego nie posiada lub które zostało usunięte, uzyskuje połączenie odczytu/zapisu z Redisem na interfejsie loopback.

Heym przed wersją 0.0.106 zawiera podatność na eksfiltrację poświadczeń w punkcie końcowym POST /api/credentials/test, która pozwala współpracownikom z dostępem do współdzielonych poświadczeń na wyeksfiltrowanie sekretu właściciela poświadczeń. Atakujący mogą nadpisać docelowy URL w parametrze config, aby serwer wysyłał odszyfrowane sekrety uwierzytelniające do kontrolowanych przez atakującego punktów końcowych.

heym przed wersją 0.0.109 zawiera podatność na SSRF w węzłach Slack, Discord i Crawler. Węzły te wysyłają żądania HTTP do adresów URL pochodzących z poświadczeń użytkownika (webhook_url / flaresolverr_url) za pomocą niechronionego klienta HTTP, omijając zabezpieczenia egress. Każdy zarejestrowany użytkownik może utworzyć poświadczenie wskazujące na wewnętrzny adres i wykonać przepływ pracy, powodując dostęp do punktów końcowych loopback, prywatnych, link-local lub metadanych chmury i zwrócenie pełnej treści odpowiedzi w wyniku węzła.

AzuraCast przed wersją 0.23.6 zawiera brak sprawdzenia uprawnień w punkcie końcowym GET /api/station/{station_id}/file/{id}/play, co pozwala uwierzytelnionym użytkownikom na pobieranie plików multimedialnych z dowolnej stacji. Atakujący mogą enumerować pliki za pomocą sekwencyjnych identyfikatorów i eksfiltrować całą bibliotekę multimediów stacji, do których nie mają uprawnień.