Katalog podatności CVE

W komponencie rejestracji klienta Keycloak, gdy dostawca vault jest używany do przechowywania wrażliwych informacji, uwierzytelniony właściciel klienta może użyć specjalnie spreparowanego odwołania, aby ujawnić sekrety. Poprzez zmianę sekretu klienta na wpis w vault i następnie żądanie konfiguracji klienta właściciel może zobaczyć wartość sekretu w postaci jawnej.

W implementacji JWT Authorization Grant komponentu keycloak-services, gdy dostawca tożsamości OIDC lub Google jest skonfigurowany z określonymi ograniczeniami logowania, takimi jak filtrowanie oświadczeń, sprawdzenia te są stosowane podczas standardowych logowań w przeglądarce, ale pomijane w przepływie grantu opartego na JWT. Umożliwia to uwierzytelnionemu klientowi uzyskanie tokenów dostępu dla użytkownika, nawet jeśli jego oświadczenia dostawcy tożsamości powinny blokować logowanie.

W 389-ds-base występuje dereferencja wskaźnika NULL, gdy operacja ModifyDN (zmiana nazwy) używa aliasu schematu atrybutu (np. "commonName") zamiast nazwy kanonicznej (np. "cn") jako nowej względnej nazwy wyróżniającej. Uwierzytelniony atakujący z uprawnieniem ModifyDN na dotkniętym wpisie może użyć tej luki do zawieszenia serwera katalogowego.

Wtyczka Password Protected dla WordPress jest podatna na przechowywane cross-site scripting poprzez dołączony handler ukończenia zakupu w Freemius SDK we wszystkich wersjach do 2.8.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Po zakończeniu opt-in Freemius handler przetwarza parametr żądania 'purchased_plan' w dowolnym żądaniu wp-admin od uwierzytelnionego użytkownika bez weryfikacji uprawnień, nonce ani zakupu, i zapisuje go w trwałym komunikacie administracyjnym.

Wtyczka WordPress PAYCOMET for WooCommerce w wersji przed 5.46 nie weryfikuje podpisu kryptograficznego w punkcie powiadomień o płatnościach, gdy żądanie dotyczy operacji tokenizacji. Umożliwia to nieuwierzytelnionym atakującym nadpisanie zapisanego tokenu płatności powiązanego z istniejącymi zamówieniami oraz usunięcie zapisanych danych kart.

Wtyczka WordPress Link Library w wersji przed 7.10.0 nie weryfikuje, czy żądany link należy do zestawu ustawień, którego szablon wyświetlania jest używany do jego renderowania. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie numeru telefonu, adresu e-mail i nazwy zgłaszającego zapisanych przy linkach, których zestaw ustawień jest skonfigurowany tak, aby ich nie wyświetlać.

Wtyczka WordPress Link Library w wersji przed 7.10.0 nie sprawdza ponownie wymogu logowania wybranej biblioteki przy przetwarzaniu zgłoszenia linku z frontendu. Umożliwia to nieuwierzytelnionym użytkownikom przesyłanie linków do biblioteki skonfigurowanej jako wymagająca logowania poprzez ponowne użycie tokenu formularza uzyskanego z innej biblioteki, która tego wymogu nie ma.

W komponencie platform-mbean JBoss EAP wykryto błąd polegający na braku wymaganych kontroli RBAC w obsłudze operacji read-resource na zasobie zarządzania runtime. Uwierzytelniony użytkownik z niskimi uprawnieniami, np. rolą Monitor, może przeglądać wrażliwe właściwości systemowe i szczegóły konfiguracji JVM, które powinny być ograniczone.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie ogranicza dostępu do akcji AJAX usuwającej zapisane rekordy statystyk formularzy. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów statystyk.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje tokenu CSRF ani pochodzenia żądania w dwóch akcjach dostępnych tylko dla administratorów, które masowo usuwają przechwycone zgłoszenia formularzy i czyszczą statystyki formularza. Umożliwia to atakującym trwałe zniszczenie przechowywanych leadów kontaktowych i analityki witryny poprzez nakłonienie zalogowanego administratora do wysłania sfałszowanego żądania.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.11.1 nie weryfikuje nonce CSRF przed zapisaniem ustawień poczty. Umożliwia to atakującemu nadpisanie wychodzącej konfiguracji poczty witryny, w tym serwera SMTP, jego danych dostępowych i odbiorcy powiadomień, poprzez nakłonienie zalogowanego administratora do odwiedzenia spreparowanej strony, co może skierować powiadomienia formularza kontaktowego przez infrastrukturę kontrolowaną przez atakującego.

Wtyczka WordPress Recipe Card Blocks Lite przed wersją 3.6.4 nie sprawdza uprawnień przed renderowaniem wpisów przez funkcję drukowania przepisów. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie tytułu, ID i treści przepisu niepublikowanych wpisów (szkiców, oczekujących, prywatnych i chronionych hasłem). Opcjonalna ochrona "drukuj tylko opublikowane wpisy" nie działa, ponieważ status sprawdzany jest dla innego wpisu niż renderowany.

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.6.0 (w tym 6.5.8 i starsze) nie ma prawidłowych kontroli uprawnień podczas aktualizacji danych wpisów przez jedną z tras REST API. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Author i wyższym modyfikację tytułu, treści, zajawki i innych pól dowolnych wpisów, stron i załączników, w tym należących do innych użytkowników.

Wtyczka WordPress GeoDirectory przed wersją 2.8.197 nie respektuje ochrony hasłem wpisu podczas renderowania ogłoszenia. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie treści i pól niestandardowych opublikowanych ogłoszeń chronionych hasłem.

Wtyczka WordPress WP Photo Album Plus przed wersją 9.3.04.004 nie weryfikuje pochodzenia ani tokenu bezpieczeństwa dla jednego z żądań zarządzania komentarzami. Umożliwia to atakującym usuwanie komentarzy do zdjęć poprzez nakłonienie zalogowanego użytkownika z uprawnieniami do moderacji komentarzy do załadowania spreparowanej strony.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie zapobiega zmianie celu linku na URI javascript: przez elementy animacji w przesłanych plikach SVG. Może to umożliwić użytkownikom z rolą autora i wyższą obejście sanityzacji SVG i przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarkach opartych na WebKit, takich jak Safari.

Wtyczka WordPress Enable SVG, WebP, and ICO Upload przed wersją 1.1.6 nie sanityzuje przesłanych plików SVG, których zawartość nie jest wykrywana jako SVG, ale nadal są przechowywane i serwowane jako obrazy SVG. Może to umożliwić użytkownikom z rolą autora i wyższą przeprowadzenie ataków Stored Cross-Site Scripting.

Wtyczka WordPress Hide Price Until Login w wersji przed 1.1.2 nie ogranicza obsługi rejestracji gości i nie respektuje ustawienia witryny dotyczącego rejestracji użytkowników. W efekcie każdy może utworzyć konto WordPress i uzyskać sesję zalogowanego użytkownika, nawet gdy rejestracja jest wyłączona.

Wtyczka WordPress Wallet System for WooCommerce w wersji przed 2.8.2 nie ogranicza obsługi przesyłania dokumentów KYC do konta bieżącego użytkownika, pobierając docelowy identyfikator użytkownika z pola żądania bez sprawdzenia własności lub uprawnień. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (np. Subscriber lub Customer) nadpisanie dokumentów KYC i statusu weryfikacji dowolnego innego użytkownika, w tym administratora.

W funkcjonalności /api/runscript w FUXA (wersja 1.3.2-2809) występuje luka pozwalająca na obejście autoryzacji. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania operacji o podwyższonych uprawnieniach, a atakujący może wywołać je bez uwierzytelnienia.