Katalog podatności CVE

Podatność w PraisonAI przed wersją 4.6.78 wynika z błędnej konfiguracji obrony przed wstrzykiwaniem promptów, gdzie domyślny próg blokowania ustawiony jest na poziom CRITICAL. Pozwala to na przejście ataków o wysokiej dotkliwości (HIGH) bez blokowania, co umożliwia wyodrębnienie promptów systemowych i nieautoryzowane wywołania narzędzi.

Podatność SSRF w backendzie Crawl4AI/Chromium w PraisonAI przed wersją 1.6.78 umożliwia atakującym ominięcie walidacji poprzez DNS rebinding i przekierowania HTTP. Atakujący może skonstruować adres URL, który po wstępnej walidacji rozwiązuje się do wewnętrznych usług, pozwalając przeglądarce headless na odczyt wrażliwych danych.

PraisonAI AgentMail w wersjach przed 4.6.78 nie weryfikuje podpisów w trybie webhook, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie wiadomości ze sfałszowanym adresem nadawcy. Atakujący mogą wysłać spreparowane zdarzenie message.received do punktu końcowego webhook, aby wstrzyknąć dowolną treść do agenta i wywołać odpowiedzi na kontrolowane przez siebie adresy, omijając listy dozwolonych/zablokowanych nadawców.

PraisonAI przed wersją 1.7.3 zawiera niebezpieczną domyślną konfigurację, która wiąże się ze wszystkimi interfejsami sieciowymi, nie wymaga klucza API i zezwala na dowolne źródła CORS. Nieuwierzytelnieni atakujący mogą odczytać instrukcje agentów i podpowiedzi systemowe za pomocą żądania GET /api/agents lub wywołać agentów bez uwierzytelnienia przez POST /api/chat.

Capgo przed wersją 12.128.2 zawiera lukę ujawnienia informacji w funkcji PostgreSQL find_apikey_by_value, która jest oznaczona jako SECURITY DEFINER i wykonywalna przez rolę anon. Nieuwierzytelnieni atakujący mogą wywołać tę funkcję przez endpoint /rest/v1/rpc/find_apikey_by_value, aby pobrać wrażliwe metadane klucza API, w tym user_id, tryb, zakres organizacyjny i szczegóły wygaśnięcia, po podaniu prawidłowej wartości klucza.

Podatność w rozszerzeniu Phoca Downloads dla Joomla umożliwia uwierzytelnionym użytkownikom przesyłanie plików wykonywalnych, co prowadzi do pełnego zdalnego wykonania kodu (RCE).

Wtyczka Genolve – AI image AI video generation dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji genolve_setOpt() we wszystkich wersjach do 5.0.5 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współpracownika i wyższym aktualizację dowolnych opcji WordPressa, w tym włączenie rejestracji użytkowników i ustawienie domyślnej roli na administratora, co prowadzi do eskalacji uprawnień.

Wtyczka W3 Total Cache dla WordPressa do wersji 2.9.4 włącznie jest podatna na przechodzenie do katalogów (Directory Traversal) poprzez funkcję setupSources. Niezalogowani atakujący mogą odczytać zawartość dowolnych plików na serwerze, co może ujawnić wrażliwe informacje. Wykorzystanie podatności wymaga włączenia trybu ręcznej minifikacji i podania odpowiedniej nazwy pliku minifikacji.

Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 zawiera podatność na przechowywany atak XSS przez parametr 'approval_code'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego skryptu, który wykona się przy dostępie do zainfekowanej strony. Dodatkowo, endpoint REST POST /wp-json/corvuspay/success/ jest dostępny bez uwierzytelnienia, a walidacja podpisu nie zatrzymuje wykonania, co pozwala na zapisanie złośliwego kodu w bazie danych.

Wtyczka WP CTA – Sticky CTA Builder dla WordPressa do wersji 2.2.2 włącznie zawiera podatność na ślepe SQL Injection oparte na czasie przez parametr 'fildname' w metodzie ajaxCheck(). Brak autoryzacji i rejestracja endpointu dla niezalogowanych użytkowników umożliwia atakującym wstrzykiwanie dowolnych zapytań SQL i wyodrębnianie wrażliwych danych, w tym hashów haseł administratora.

Wtyczka Essential Addons for Elementor do WordPressa jest podatna na przejęcie konta administratora poprzez wstrzyknięcie nagłówka e-mail. Podatność występuje we wszystkich wersjach do 6.6.10 włącznie i wynika z braku walidacji po stronie serwera ustawienia widżetu logowania/rejestracji, które jest używane do konstruowania nagłówków wychodzących e-maili. Atakujący z dostępem na poziomie Współpracownika lub wyższym może wstrzyknąć nagłówek Bcc, aby otrzymać kopię linku do resetowania hasła administratora i przejąć jego konto.

Wtyczka Code Engine dla WordPressa jest podatna na zdalne wykonanie kodu we wszystkich wersjach do 0.3.5 włącznie przez shortcode 'code-engine'. Podatność wynika z braku ograniczeń dostępu do funkcji wstrzykiwania kodu, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym na wykonanie kodu na serwerze.

Wtyczka SureCart dla WordPressa do wersji 4.2.3 włącznie zawiera podatność na eskalację uprawnień poprzez przejęcie konta. Problem wynika z braku prawidłowej weryfikacji tożsamości użytkownika przed aktualizacją danych, takich jak adres e-mail, podczas synchronizacji profilu klienta z zdarzeń webhook. Umożliwia to nieuwierzytelnionym atakującym zmianę adresu e-mail powiązanego użytkownika, w tym administratora, jeśli jego konto jest połączone z rekordem klienta SureCart, a następnie zresetowanie hasła i przejęcie konta, jeśli znany jest identyfikator klienta.

Wtyczka Form Vibes – Database Manager for Forms dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole formularza Contact Form 7 we wszystkich wersjach do 1.5.2 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka Planyo Online Reservation System dla WordPressa w wersjach do 3.0 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) prowadzącą do lokalnego włączania plików (LFI). Plik ulap.php działa jako proxy AJAX i jest dostępny bez uwierzytelniania, a funkcja send_http_post() nie waliduje schematu URL, co pozwala atakującemu na użycie protokołu file:// do odczytu dowolnych plików na serwerze.

Wtyczka Swiss Toolkit For WP dla WordPressa do wersji 1.4.6 zawiera podatność na dowolne przesyłanie plików. Funkcja `upload_extension_files()` błędnie sprawdza typ pliku, używając `strpos()` do wyszukiwania rozszerzenia w nazwie pliku zamiast weryfikacji rzeczywistego rozszerzenia.

Wtyczka Booking Package dla WordPressa do wersji 1.7.20 zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'email' w formularzu (form<N>). Brak odpowiedniego escapowania i przygotowania zapytania SQL pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.

Wtyczka LA-Studio Element Kit dla Elementor do WordPressa jest podatna na lokalne dołączanie plików (LFI) we wszystkich wersjach do 1.6.1 włącznie, poprzez funkcję get_type_template. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().