Katalog podatności CVE

Wtyczka Tutor LMS dla WordPressa w wersjach do 4.0.7 włącznie jest podatna na Insecure Direct Object Reference poprzez akcję AJAX tutor_quiz_builder_save z powodu braku walidacji, czy zagnieżdżone identyfikatory question_id, answer_id, deleted_question_ids[] i deleted_answer_ids[] należą do quizu/tematu/kursu, którym zarządza żądający. Uwierzytelniony atakujący z uprawnieniami instruktora lub wyższymi może nadpisywać treści i przepinać pytania/odpowiedzi quizów należących do innych instruktorów lub administratorów oraz usuwać dowolne pytania i odpowiedzi.

Wtyczka WP User Manager dla WordPressa w wersjach do 2.9.18 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w funkcji Connect::complete(). Funkcja jest zarejestrowana na hooku admin_init i nie weryfikuje uprawnień ani nonce przed pobraniem danych uwierzytelniających Stripe i zapisaniem ich w opcji wpum_settings. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może przejąć integrację Stripe, kierując wszystkie płatności na swoje konto.

Wtyczka Live Composer dla WordPressa w wersjach do 2.1.21 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez zawartość shortcode 'dslc_module_downloads_output' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.

Wtyczka BM Content Builder dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 3.17.1 (wyłącznie) poprzez funkcję ux_cb_page_customize_save_layout_ajax(). Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może odczytać dowolne pliki na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Handily dla WordPressa jest podatna na nieautoryzowaną modyfikację ustawień płatności z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.3 włącznie. Nieuwierzytelniony atakujący może zmodyfikować konfigurację Stripe, w tym klucze publiczne, klucze tajne, adresy e-mail, adresy URL sukcesu i anulowania, co może przekierować płatności na konta atakującego.

Wtyczka PixelPlay dla WordPressa jest podatna na nieautoryzowane usunięcie kluczy API z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.2 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne klucze API (Pixabay, Unsplash, Pixels, OpenAI) skonfigurowane przez administratorów witryny za pomocą parametru 'clear_api_type'.

Wtyczka Image Buzz dla WordPressa jest podatna na nieautoryzowaną modyfikację kluczy API z powodu braku kontroli autoryzacji we wszystkich wersjach do 1.0.3 włącznie. Nieuwierzytelniony atakujący może zmodyfikować dowolne klucze API (Pixabay, Unsplash, Pixels) skonfigurowane przez administratorów witryny za pomocą parametrów 'pixabay_api', 'unsplash_api' lub 'pixels_api'.

Wtyczka Booking Calendar dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametr 'wpbc_auto_fill' we wszystkich wersjach do 11.8.3 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Text Styler dla WordPressa do wersji 1.1.1 nie sanityzuje i nie escapuje wartości stylów dostarczonych przez użytkownika przed wyświetleniem ich w bloku stylów front-endu oraz nie weryfikuje, czy użytkownik może edytować docelowy post. Umożliwia to użytkownikom z uprawnieniami contributor lub wyższymi zapisanie JavaScriptu, który wykonuje się w przeglądarce każdego, kto wyświetla zaatakowany post, w tym administratorów.

Wtyczka Contextual Related Posts dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametr bloku 'other_attributes' we wszystkich wersjach do 4.4.1 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami author lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

W Yonyou U8cloud 5.x wykryto lukę bezpieczeństwa w nieznanym fragmencie kodu pliku /u8cloud/openapi/so.saleorder.sendaudit w komponencie OpenAPI. Manipulacja argumentem operator prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

Dancer2 w wersjach przed 2.2.0 dla Perla nie usuwa znaków CR i LF z nazw nagłówków odpowiedzi w funkcji headers_to_array. Rutynowo usuwa CR i LF z wartości nagłówka, ale nie z nazwy, co pozwala na wstrzyknięcie dodatkowych nagłówków i podział odpowiedzi. Aplikacja musi wyprowadzać nazwę nagłówka z danych żądania.

Dancer2 w wersjach przed 2.2.0 dla Perla serwuje layout jako stronę, gdy równoważna pisownia jego ścieżki omija zabezpieczenie w handlerze AutoPage. Handler porównuje ścieżkę żądania z nazwą katalogu layoutu jako tekst, podczas gdy późniejsze wyszukiwanie kanonizuje ścieżkę. Podwójny slash, segment kropki, zakodowany procentowo slash lub inna wielkość liter na systemie plików bez rozróżniania wielkości liter omija zabezpieczenie.

SAP Fiori Launchpad nie weryfikuje wystarczająco pewnych danych wejściowych kontrolowanych przez użytkownika. Nieuwierzytelniony atakujący może spreparować złośliwy link, który po kliknięciu przez uwierzytelnionego użytkownika powoduje załadowanie przez przeglądarkę treści kontrolowanej przez atakującego z zewnętrznej lokalizacji. Może to posłużyć do eksfiltracji poufnych informacji z sesji ofiary, co ma duży wpływ na poufność, bez wpływu na integralność i dostępność.

vLLM do wersji 0.29.0 zawiera podatność na wyczerpanie zasobów w MooncakeConnector, gdzie odrzucone żądania prefill tworzą placeholdery transferu bez właściciela, które nigdy nie są odzyskiwane. Atakujący mogą wysyłać odrzucone żądania, aby wyczerpać pule zadań sendera, powodując opóźnienia ważnych żądań nawet o 480 sekund, podczas gdy kontrole zdrowotności nadal zwracają sukces.

lamp-cloud do wersji 5.10.0 nie waliduje parametru employeeId w punkcie końcowym /anyone/visible/resource, co pozwala uwierzytelnionym użytkownikom odczytywać role i uprawnienia dowolnego pracownika. Atakujący mogą podawać dowolne wartości employeeId, aby wyliczyć kody ról, kody uprawnień i pełne drzewa routerów front-end innych pracowników bez kontroli autoryzacji.

lamp-cloud do wersji 5.10.0 zawiera podatność na obejście autoryzacji w FileAnyoneController, która pozwala uwierzytelnionym użytkownikom pobierać dowolne załączniki. Atakujący mogą uzyskać dostęp do plików innych użytkowników, podając prawidłowe identyfikatory załączników do punktów końcowych /anyone/file/down i /anyone/file/download, ponieważ aplikacja nigdy nie weryfikuje własności pliku względem kolumny created_by.

lamp-cloud do wersji 5.10.0 zawiera podatność na obejście autoryzacji w punkcie końcowym getUserInfoById, która pozwala uwierzytelnionym użytkownikom odczytywać pełne profile innych użytkowników. Atakujący mogą iterować parametr userId, aby zbierać wrażliwe informacje, takie jak numery telefonów, adresy e-mail, numery dowodów osobistych oraz OpenID z WeChat i DingTalk.

Gladys Assistant przed wersją 5.1.0 zawiera podatność na zatrucie linku resetowania hasła, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać ważne tokeny resetowania hasła dla dowolnego konta poprzez wykorzystanie parametru origin dostarczanego przez klienta w punkcie końcowym forgot_password bez walidacji po stronie serwera. Atakujący mogą wysłać spreparowane żądanie z kontrolowanym origin, powodując, że ofiara otrzyma zatruty link resetujący, który ujawnia token sesji atakującemu, umożliwiając pełne przejęcie konta, w tym kont administratorów.