Katalog podatności CVE

OpenPanel do wersji 2.3.0 nie escapuje kluczy właściwości w zapytaniach SQL do ClickHouse, co pozwala uwierzytelnionym użytkownikom na wstrzykiwanie logicznych warunków SQL. Atakujący może podać spreparowane nazwy filtrów, aby ominąć izolację projektów i uzyskać dostęp do metryk innych projektów.

hono w wersjach przed 4.13.7 nie escapuje znaków HTML w zwykłych łańcuchach renderowanych przez hono/jsx w kilku kontekstach, m.in. jako dziecko lub fallback Suspense, jako dziecko ErrorBoundary z asynchronicznym rodzeństwem, jako jedyne dziecko Context.Provider oraz jako wartość główna przekazywana do renderToString() lub renderToReadableStream(). W tych ścieżkach dane wejściowe są konwertowane na łańcuch i traktowane jako już zescapowany znacznik, co pozwala atakującemu wstrzyknąć dowolny HTML i wykonać skrypt w kontekście domeny aplikacji.

Wtyczka Partial Shipment for Woocommerce dla WordPressa w wersjach do 3.4 włącznie jest podatna na brak autoryzacji w akcjach AJAX 'wxp_order_shipment', 'wxp_order_item_shipment' i 'wxp_order_set_shipped'. Brak kontroli uprawnień, weryfikacji nonce i sprawdzenia właściciela zamówienia pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na odczyt szczegółów zamówień innych klientów oraz modyfikację statusu wysyłki dowolnego zamówienia.

Wtyczka Empik for Woocommerce dla WordPressa w wersjach do 1.5.1 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika do wykonania akcji, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na modyfikację dowolnych metadanych produktów WooCommerce, w tym klasy logistycznej Empik, stanu produktu i flag eksportu.

Wtyczka Datalogics Ecommerce Delivery – Datalogics dla WordPressa w wersjach do 2.6.65 włącznie jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje należycie uprawnień użytkownika, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na tworzenie i anulowanie rzeczywistych zamówień wysyłkowych przez zewnętrzne API logistyczne, modyfikację metadanych zamówień WooCommerce, nadpisanie tokenu API wtyczki i wyzwalanie e-maili z powiadomieniami o wysyłce.

Wtyczka WordLift – AI powered SEO – Schema dla WordPressa w wersjach do 3.54.10 włącznie jest podatna na ujawnienie danych wrażliwych poprzez endpointy REST API JSON-LD. Trasy /wordlift/v1/jsonld/ są zarejestrowane z permission_callback ustawionym na '__return_true', a konwerter pobiera posty przez get_post() bez weryfikacji statusu postu i uprawnień użytkownika, co pozwala nieuwierzytelnionym atakującym na odczyt metadanych prywatnych, roboczych i oczekujących postów.

Wtyczka Gum Addon for Elementor dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'pop_tag' we wszystkich wersjach do 1.3.15 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na odbity atak XSS poprzez parametr 'esi' we wszystkich wersjach do 7.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga podania prawidłowo podpisanego 'esi' w zapytaniu GET oraz osobnego payloadu 'esi' w ciele POST, wykorzystując domyślną kolejność scalania $_REQUEST w PHP.

Wtyczka Redux Framework dla WordPressa jest podatna na przechowywany atak XSS poprzez pole spinner w wersjach do 4.5.13 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. W funkcji user_meta_save() wartości skalarne omijają logikę sanityzacji, która przetwarza tylko tablice, co pozwala na zapisanie wartości pola spinner w metadanych użytkownika bez odpowiedniej sanityzacji. Następnie wartość jest renderowana w niecytowanym atrybucie HTML bez escapingu, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów.

Wtyczka YS LeadGen dla WordPressa jest podatna na obejście autoryzacji i przechowywany atak XSS poprzez wiele endpointów AJAX we wszystkich wersjach do 2.1.4 włącznie, z powodu braku sprawdzania uprawnień w akcjach zarządzania popupami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej tworzenie dowolnych popupów i wstrzykiwanie złośliwego JavaScript, który wykonuje się przy wyświetleniu popupu, prowadząc do przechowywanego XSS.

Wtyczka TikTok dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.4.1 włącznie, z powodu nieprawidłowego weryfikowania uprawnień użytkownika. Umożliwia to nieuwierzytelnionym atakującym nadpisanie przechowywanego tokena dostępu do integracji TikTok w opcjach WordPressa, przejmując integrację TikTok Business i katalogu produktów. Skuteczne wykorzystanie wymaga podania prawidłowego kodu autoryzacyjnego OAuth wydanego dla zarejestrowanej aplikacji TikTok sprzedawcy.

Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.

Wtyczka Payment Gateway of Stripe for WooCommerce dla WordPressa jest podatna na nieprawidłową weryfikację podpisu kryptograficznego we wszystkich wersjach do 5.0.8 włącznie. Publicznie dostępny endpoint webhooka `woocommerce_api_wt_stripe` zawiera jedyne wywołanie `\Stripe\Webhook::constructEvent()` wewnątrz warunku `if (!empty($endpoint_secret))`, który nie jest spełniony na domyślnych instalacjach, ponieważ opcja `eh_stripe_webhook_secret` jest pusta po świeżej instalacji. To powoduje, że surowe, kontrolowane przez atakującego dane POST są dekodowane i przetwarzane jako w pełni zaufane zdarzenie Stripe bez żadnej weryfikacji podpisu, uwierzytelniania ani autoryzacji. Umożliwia to nieuwierzytelnionym atakującym wysyłanie sfałszowanych zdarzeń webhook Stripe w celu manipulowania statusami zamówień WooCommerce, w tym oznaczania niezapłaconych zamówień jako opłaconych lub ukończonych, wymuszania stanu niepowodzenia, tworzenia fałszywych powiadomień o sporach i wstrzykiwania fałszywych zdarzeń zwrotu. Podatność jest wykorzystywalna tylko wtedy, gdy administrator nie skonfigurował sekretu podpisywania webhooka Stripe.

Wtyczka Flex Import dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 3.0 włącznie, z powodu funkcji license_activate_fleximp() i license_deactivate_fleximp(), które są podpięte do akcji AJAX, ale nie sprawdzają uprawnień ani nie weryfikują nonce. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej aktywowanie dowolnego/fałszywego klucza licencyjnego (zapisując go w opcjach) lub dezaktywację legalnej licencji, co zakłóca funkcje premium wtyczki.

Wtyczka Easy Appointments dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.12.27 włącznie poprzez handle_customers_ajax. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wyciągnięcie pełnego zestawu danych klientów z tabeli ea_customers, w tym danych osobowych takich jak imiona, adresy e-mail, numery telefonów, daty urodzenia i adresy fizyczne.

Wtyczka MC4WP: Mailchimp for WordPress dla WordPressa jest podatna na odbity atak XSS poprzez 'data' Dynamic Content Tag we wszystkich wersjach do 4.14.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku.

Wtyczka WP Ghost (Hide My WP Ghost) – Security & Firewall dla WordPressa w wersjach do 7.0.02 włącznie jest podatna na otwarte przekierowanie (Open Redirect) z powodu niewłaściwej walidacji danych wejściowych użytkownika. Nieuwierzytelniony atakujący może przekierować użytkownika na złośliwą stronę, jeśli nakłoni go do kliknięcia specjalnie spreparowanego linku. Wykorzystanie wymaga nakłonienia zalogowanego użytkownika do kliknięcia spreparowanego adresu URL wylogowania; ofiara zostaje najpierw wylogowana przez wp_logout(), a następnie następuje złośliwe przekierowanie.

Wtyczka GoPay for WooCommerce dla WordPressa w wersjach do 1.0.36 włącznie jest podatna na ogólne wstrzyknięcie SQL poprzez parametr 'log_table_filter' z powodu niewystarczającego escapowania danych wejściowych użytkownika i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami menedżera sklepu lub wyższymi może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyciągnięcie poufnych informacji z bazy danych.

Wtyczka WP Optimizer dla WordPressa w wersjach do 2.5.0 włącznie jest podatna na wstrzyknięcie SQL poprzez parametr 's' z powodu niebezpiecznej gałęzi wykrywania podzapytań w metodzie Query::parse_key_compare_field(). Gdy wartość podana przez użytkownika pasuje do wyrażenia regularnego ^[(\s]*SELECT\s+, jest ona owijana w nawiasy i osadzana bezpośrednio w zapytaniu SQL bez escapowania. Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolne podzapytania SQL, w tym ładunki typu time-based blind, co pozwala na wyciągnięcie poufnych informacji z bazy danych.

Wtyczka Redux Framework dla WordPressa w wersjach do 4.5.13 włącznie jest podatna na przechowywane skrypty cross-site (Stored XSS) poprzez wartości filtrów pola Media z powodu niewystarczającej sanityzacji danych wejściowych w funkcji user_meta_save() i niebezpiecznego wyjścia wartości CSS filtrów w funkcji render() bez odpowiedniego escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.