Katalog podatności CVE

Wtyczka WPGraphQL Smart Cache dla WordPressa przed wersją 2.3.2 nie wymaga autoryzacji ani nie weryfikuje identyfikatora zapytania dostarczonego przez wywołującego przed zapisaniem trwałego zapytania z żądania. Pozwala to nieuwierzytelnionym użytkownikom na publikowanie dowolnych dokumentów zapytań i zajmowanie aliasów zapytań przed ich zarejestrowaniem przez frontend strony.

Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.

Wtyczka Ultra Addons for Contact Form 7 dla WordPressa przed wersją 3.5.51 nie weryfikuje typu ani rozszerzenia plików przesyłanych przez jedno z pól formularza i przechowuje je w przewidywalnej publicznej ścieżce z zachowanym rozszerzeniem wybranym przez atakującego, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie dowolnych plików. Domyślny handler PHP w pakietach Apache dla Debiana i Ubuntu mapuje .phar na PHP obok .php i .phtml, więc na tym stosie przesłany plik jest wykonywany, co prowadzi do zdalnego wykonania kodu i całkowitego przejęcia witryny. Tam, gdzie host kieruje tylko .php do handlera PHP, ten sam plik jest serwowany z własnego origin witryny z nienaruszonym skryptem, co prowadzi do Stored Cross-Site Scripting.

Wtyczka JetFormBuilder — Dynamic Blocks Form Builder dla WordPressa przed wersją 3.6.5.3 nie wystarczająco ogranicza, które funkcje PHP mogą być używane jako niestandardowy callback walidacji pola, opierając się na liście blokującej, która pomija funkcję usuwania plików, co pozwala użytkownikom mogącym zarządzać formularzami na usuwanie dowolnych plików na serwerze. Samo usunięcie jest wykonywane podczas przesyłania formularza, co nie wymaga uwierzytelnienia.

Wtyczka WordPress Nimble Page Builder w wersjach do 3.3.8 włącznie nie sprawdza uprawnień podczas zwracania zawartości page-buildera przez uwierzytelnioną akcję AJAX. Pozwala to każdemu zalogowanemu użytkownikowi (rola Subscriber i wyżej) na ujawnienie zawartości page-buildera dowolnych niepublicznych wpisów i stron (szkice, oczekujące, prywatne, zaplanowane).

Wtyczka Pochipp dla WordPressa (wersje do 1.20.2 włącznie) pozwala na odbity cross-site scripting przez parametr 'keyword'. Brak escapowania danych wyjściowych powoduje, że wartość z $_GET['keyword'] jest wstawiana do atrybutu value bez esc_attr(). Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik z uprawnieniem upload_files kliknie spreparowany link.

Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) pozwala na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z niestandardowym poziomem dostępu może uzyskać dostęp do pełnej historii wiadomości, metadanych wątku i danych użytkowników dowolnego czatu bez autoryzacji. Podatność występuje tylko, gdy ustawienie only_joined_can_read ma domyślną wartość '0'.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) poprzez parametr 'student_id'. Brak walidacji klucza kontrolowanego przez użytkownika pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na ujawnienie adresu e-mail oraz numeru telefonu z profilu Tutor dowolnych użytkowników WordPressa, w tym administratorów, poprzez iterowanie po identyfikatorach użytkowników.

Wtyczka Better Messages dla WordPressa (wersje do 2.15.33 włącznie) jest podatna na ujawnienie informacji poprzez podszywanie się. Funkcja is_ai_bot_user() identyfikuje uprzywilejowane konta botów AI na podstawie sprawdzenia prefiksu 'ai-chat-bot-' w adresie IP zapisanym dla rekordu gościa, który jest kopiowany bezpośrednio z nagłówka X-Real-IP kontrolowanego przez klienta. Umożliwia to nieuwierzytelnionym atakującym zarejestrowanie tożsamości gościa traktowanej jako wewnętrzny bot AI, obejście filtrów ról i dołączenie do zastrzeżonych pokoi czatu, publikowanie w nich wiadomości oraz czytanie prywatnej historii wiadomości innych użytkowników.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na odbity cross-site scripting (Reflected XSS) poprzez parametr 'search' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, jeśli uda się nakłonić użytkownika do kliknięcia linku.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.0.8 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika do wykonania akcji. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym trwałe usunięcie dowolnych wpisów WordPressa — w tym stron, kursów, quizów i produktów WooCommerce — poprzez wp_delete_post( $id, true ). Łańcuch exploitacji wymaga najpierw wywołania przepływu przesyłania zdjęcia profilowego, utworzenia tematu Tutor powiązanego z tym załącznikiem, a następnie wywołania procedury usuwania lekcji na docelowym wpisie.

Wtyczka Divi Essential dla WordPressa (wersje do 5.8.1 włącznie) jest podatna na ujawnienie wrażliwych informacji poprzez akcje AJAX dnxte_get_database_tables i dnxte_get_database_data. Procedury obsługi jedynie warunkowo weryfikują nonce (sprawdzenie następuje tylko gdy parametr 'nonce' jest obecny i można je łatwo obejść pomijając parametr) i nigdy nie wywołują current_user_can() ani nie egzekwują uprawnień. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym wyliczenie wszystkich tabel w bazie danych WordPressa i odczytanie dowolnej liczby wierszy z dowolnej tabeli — w tym wp_users (nazwy użytkowników, e-maile, hasła), wp_usermeta (tokeny sesji, klucze tajne) i wp_options (ustawienia uprzywilejowane, klucze API, poświadczenia innych wtyczek).

Wtyczka SEO Booster dla WordPressa (wersje do 7.4.7 włącznie) jest podatna na brak autoryzacji z powodu braku sprawdzenia uprawnień w funkcji handle_oauth_callback() podpiętej do admin_init, która przetwarza $_GET['access_token'] i $_GET['google_email'] bez weryfikacji roli wywołującego. Umożliwia to uwierzytelnionym atakującym z poziomem subskrybenta i wyższym nadpisanie opcji seobooster_access_token, seobooster_google_email i seobooster_gsc_sites oraz usunięcie flagi seobooster_needs_reauth poprzez odwiedzenie spreparowanego adresu URL /wp-admin/, zakłócając integrację z Google Search Console i wstrzykując dane wybrane przez atakującego do opcji witryny.

Wtyczka WP2Social Auto Publish dla WordPressa (wersje do 2.4.12 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez ustawienia administratora z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Dotyczy to wyłącznie instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.

SiYuan w wersjach do 3.8.4 nie egzekwuje kontroli dostępu do publikacji w punkcie końcowym getDynamicIcon, umożliwiając posiadaczom tokenów tylko do odczytu dostęp do metadanych dokumentów. Atakujący mogą wywołać punkt końcowy z type=8 i spreparowaną treścią, aby odczytać tytuły bloków, nazwy, aliasy i ścieżki hierarchiczne zastrzeżonych dokumentów poprzez wstrzyknięcie szablonu.

Aplikacja chroni dostęp za pomocą hasła w stylu kalkulatora, ale przechowywane dane nie są powiązane z tą granicą uwierzytelniania. Lokalny aktor z dostępem do współdzielonej pamięci zewnętrznej, na przykład przez autoryzowaną powłokę ADB bez uprawnień roota lub inny lokalny kontekst odczytu plików, może skopiować bazę danych SQLite i pliki multimedialne bez wprowadzania hasła do sejfu.

Wada w komponencie `netty-codec-http` biblioteki Netty. Zdalny atakujący może wysłać specjalnie spreparowany token rozmiaru fragmentu HTTP/1.1 zawierający białe znaki po cyfrach. Nieprawidłowe parsowanie rozmiaru fragmentu może prowadzić do przemytu żądań HTTP.

Wada w dekoderze HTTP/1 biblioteki Netty. Niepełna walidacja zniekształconych nagłówków Transfer-Encoding pozwala zdalnemu atakującemu na przemyt żądań HTTP. Poprzez wysyłanie specjalnie spreparowanych żądań HTTP atakujący może wstrzykiwać dowolne żądania HTTP.

Podatność w Open edX Platform umożliwia autorowi kursu lub pracownikowi z uprawnieniami importu obejście walidacji ścieżek w funkcji _is_bad_path, która porównuje ścieżki za pomocą startswith zamiast porównywać komponenty ścieżki. Dzięki temu złośliwy archiwum .tar.gz może uciec do katalogu sąsiedniego kursu, powodując ograniczone uszkodzenie plików między dzierżawcami.