Katalog podatności CVE

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'email (Contact Email custom field htmlvar_name)' we wszystkich wersjach do 2.8.188 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Skuteczne wykorzystanie wymaga, aby administrator dodał i skonfigurował pole niestandardowe Contact Email do renderowania na publicznej stronie pojedynczego wpisu oraz zatwierdził zgłoszenie atakującego.

Wtyczka RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator dla WordPressa jest podatna na przechowywany atak XSS przez Feed URL / RSS <title> w bloku Feedzy Loop we wszystkich wersjach do 5.2.10 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Payload nie jest neutralizowany w czasie zapisu, ponieważ post_content przechowuje tylko nieszkodliwe odwołanie do zewnętrznego URL feedu; złośliwy HTML jest wstrzykiwany w czasie renderowania z tytułu feedu RSS kontrolowanego przez atakującego, omijając filtrowanie wp_kses w czasie zapisu.

Wtyczka FireBox – WooCommerce Popup Builder, Exit Intent Popup, Email Optin & Cart Abandonment dla WordPressa jest podatna na ogólny SQL Injection przez warunek wyświetlania formularza FireBox we wszystkich wersjach do 3.1.13 włącznie, z powodu niewystarczającej ucieczki parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym dołączanie dodatkowych zapytań SQL do istniejących zapytań, które mogą być użyte do wyodrębnienia wrażliwych informacji z bazy danych. Na świeżych instalacjach w wersji 3.1.10 i nowszych wykorzystanie wymaga dostępu na poziomie administratora; jednak na stronach zaktualizowanych z wersji wcześniejszej niż 3.1.10, migracja preserveCampaignRoleAccess() nadaje uprawnienie edit_fireboxes każdej roli, która wcześniej miała edit_posts, zmniejszając minimalny wymagany przywilej do poziomu autora.

Wtyczka Fastcache by Host.it do wersji 1.7.4 włącznie jest podatna na wstrzykiwanie kodu przez parametr `fastcache_settings[cache_cookie_exclude][]`. Rejestracja ustawienia bez sanitize_callback oraz interpolacja wartości do linii RewriteCond w .htaccess bez usuwania znaków nowej linii umożliwia uwierzytelnionym administratorom wstrzyknięcie dowolnych dyrektyw Apache, w tym php_value auto_prepend_file, co pozwala na wykonanie kodu PHP przy każdym żądaniu.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPressa jest podatna na odbity atak XSS przez parametr 'inputs (array key)' we wszystkich wersjach do 1.15.48 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na ujawnienie wrażliwych informacji przez parametr 'first_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wyodrębnić pełny nagłówek Cookie administratora, w tym sesyjne ciasteczka wordpress_logged_in_*, z wiadomości o zawieszeniu wysyłanej podczas uwierzytelnionego żądania administratora. Umożliwia to pełne przejęcie sesji i konta.

Wtyczka 3D Product configurator dla WooCommerce do wersji 2.16.2 włącznie jest podatna na zdalne wykonanie kodu przez parametr 'xpv_image'. Brak uwierzytelniania i kontroli nonce w handlerze wp_loaded oraz brak sanityzacji parametru przed wstawieniem do szablonu HTML renderowanego przez Dompdf z włączonym PHP umożliwia nieuwierzytelnionym atakującym wykonanie kodu na serwerze.

Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.

Wtyczka Download Manager dla WordPressa do wersji 3.3.71 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'regurl' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie kontrybutora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload działa tylko dla niezalogowanych odwiedzających, ponieważ podatny szablon login-form.php jest warunkowany na !is_user_logged_in().

Wtyczka Fluent Forms dla WordPressa do wersji 6.2.14 włącznie jest podatna na Reflected Cross-Site Scripting przez parametr 'any attacker-chosen name matching the {get.NAME} placeholder' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby administrator skonfigurował pole Custom HTML na opublikowanym formularzu zawierające SmartCode {get.*} w atrybucie akceptującym URL, takim jak iframe src lub a href.

Wtyczka Table Field Add-on for ACF and SCF dla WordPressa do wersji 1.4.1-RC2 włącznie jest podatna na Stored Cross-Site Scripting przez wartość pola Table Field z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Extensions For CF7 do wersji 3.4.5 włącznie jest podatna na dowolne wgrywanie plików przez funkcję extcf7_submit. Brak walidacji rozszerzenia, typu MIME i rozmiaru pliku w polu podpisu, brak zabezpieczeń przed wykonywaniem PHP w katalogu upload oraz obejście sanitize_file_name() umożliwiają nieuwierzytelnionym atakującym wgrywanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.

Urządzenie ZTE Z80 Ultra ma defekt weryfikacji uprawnień interfejsu systemowego. Interfejs nie posiada niezbędnej kontroli dostępu, a odpowiednie informacje mogą być odczytane przez refleksyjne wywołanie interfejsu.

Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'id, wp_user_id' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą nadpisać powiązanie konta WordPress dla dowolnego rekordu personelu Bookly, w tym należącego do administratorów, skutecznie przejmując powiązanie konta pracownika o wyższych uprawnieniach i eskalując przywileje.

Wtyczka Advanced Form Integration do wersji 2.9.0 włącznie jest podatna na obejście uwierzytelniania przez niezweryfikowaną zmianę hasła. Funkcja adfoin_ultimatememberac_send_data przekazuje kontrolowane przez atakującego pole i wartość do update_profile() w kontekście 'account', które omija walidację zabronionych kluczy, bez weryfikacji tożsamości, uprawnień ani ponownego uwierzytelnienia. Umożliwia to nieuwierzytelnionym atakującym zmianę hasła dowolnego konta, w tym administratora, przez publiczny formularz Contact Form 7.

Wtyczka Advanced IP Blocker do wersji 8.13.13 włącznie jest podatna na obejście uwierzytelniania. Funkcja handle_login_action() nie sprawdza po stronie serwera, czy użytkownik przeszedł pierwszy etap logowania hasłem, a błąd w funkcji generuje nonce dla każdego nieuwierzytelnionego wywołania. Umożliwia to atakującym brute-force'owanie 6-cyfrowego kodu TOTP bez ograniczeń i uzyskanie w pełni uwierzytelnionej sesji dla dowolnego konta z włączoną 2FA, w tym administratorów.

Wtyczka Bookly dla WordPressa do wersji 28.4 włącznie jest podatna na ujawnienie wrażliwych informacji przez klasyczny formularz rezerwacji w kroku Details. Endpoint bookly_render_details jest zarejestrowany dla wp_ajax i wp_ajax_nopriv, moduł nadpisuje csrfTokenValid() aby zawsze zwracał true, a funkcja getCodes() ładuje encję Customer kluczowaną wyłącznie przez podany przez atakującego telefon (lub email) bez wywołania predykatu customerIdentityConfirmed(). Gdy właściciel strony umieścił placeholdery {client_name}, {client_email}, {client_phone} lub {client_note} w tekście informacyjnym kroku Details, dane przechowywanego klienta są podstawiane do zwracanego HTML.

ExifTool for photo and video 5.0.1-gms by CellHubs konstruuje polecenia powłoki z ścieżek plików i wywołuje /system/bin/sh -c. W ścieżce eksportu CSV wybrana ścieżka multimediów jest tylko otoczona pojedynczymi cudzysłowami, a osadzone pojedyncze cudzysłowy nie są escapowane, co umożliwia wstrzyknięcie poleceń.

Wtyczka Advanced Classifieds & Directory Pro dla WordPressa do wersji 3.4.4 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'phone' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna tylko na stronach, gdzie włączone jest ustawienie 'Force Bootstrap' i widget 'ACADP Listing Address' jest umieszczony na pasku bocznym wyświetlanym na stronach pojedynczych ogłoszeń; oba warunki nie są domyślne.