Katalog podatności CVE

Podatność Cross Site Request Forgery (CSRF) w wtyczce PublishPress Series w wersjach do 3.1.3 włącznie. Ataki CSRF mogą zostać przeprowadzone bez uwierzytelnienia, co umożliwia egzekwowanie niechcianych akcji w imieniu zalogowanego administratora.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.

Podatność złamania kontroli dostępu (Broken Access Control) w wtyczce Simple Membership w wersjach do 4.8.2 włącznie, umożliwiająca kontom o roli autora (Contributor) dostęp do funkcji administracyjnych. Pozwala to na eskalację uprawnień.

Podatność Insecure Direct Object References (IDOR) w wtyczce Cooked w wersjach do 1.16.0 włącznie, dotyczy kont o roli autora (Contributor). Umożliwia odwoływanie się do obiektów (np. postów, przepisów) bez autoryzacji, co może prowadzić do ujawnienia danych.

W BMCtest, Ironic jest uruchamiany bez uwierzytelniania i TLS na czas testu. Wykorzystanie luki wymaga wygrania wyścigu z samym BMCtest, co zmniejsza okno ataku i znacząco zwiększa jego złożoność.

Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Easy Invoice w wersjach do 2.3.8 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji faktur i zarządzania, które powinny być chronione.

Podatność Cross Site Scripting (XSS) w wtyczce PublishPress Series w wersjach do 3.1.3 włącznie, dotycząca kont o roli autora (Contributor). Umożliwia wstrzyknięcie złośliwego skryptu JavaScript w treść publikacji, który wykona się w przeglądarce innych użytkowników.

Wtyczka Unlimited Elements For Elementor w wersjach do 2.0.19 włącznie zawiera podatność typu Server Side Request Forgery (SSRF). Użytkownik z uprawnieniami Contributor może wymusić na serwerze wykonanie żądań do dowolnych zasobów.

Wtyczka JetElements For Elementor w wersjach do 2.9.2.1 włącznie jest podatna na Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt.

Wtyczka PropertyHive w wersjach do 2.2.6 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wprowadzić złośliwy kod skryptowy.

Wtyczka JetSearch w wersjach do 3.6.3 włącznie jest podatna na Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt.

Wtyczka JetBlocks For Elementor w wersjach do 1.5.2 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wprowadzić złośliwy kod skryptowy.

Wtyczka King Addons for Elementor w wersjach do 51.1.81 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Nieuwierzytelniony atakujący może uzyskać dostęp do obiektów, do których nie powinien mieć dostępu.

Wtyczka Element Pack Elementor Addons w wersjach do 8.8.3 włącznie jest podatna na Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt.

Wtyczka JetTabs w wersjach do 2.3.3.1 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wprowadzić złośliwy kod skryptowy.

Wtyczka JetBlog w wersjach do 2.4.10 włącznie jest podatna na Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt.

W bibliotece MISP sachertortephp w metodzie Xml::build() występuje błąd logiczny w warunku sterującym pobieraniem XML z sieci. Z powodu pierwszeństwa operatorów, warunek sprawdzający adresy https:// jest wykonywany nawet gdy opcja readFile jest ustawiona na false, co umożliwia atakującemu wymuszenie wysłania zapytania HTTP/S do dowolnego adresu (SSRF).

Aplikacja admin3 w wersjach do 3.0.0 przechowuje hasła kont przy użyciu pojedynczej rundy MD5, używając jedynie nazwy użytkownika jako soli i bez funkcji wyprowadzania klucza. Atakujący mający dostęp do bazy danych może odzyskać hasła w postaci jawnej poprzez ataki słownikowe lub brute-force offline.

Aplikacja admin3 w wersjach do 3.0.0 nie unieważnia istniejących sesji przy wyłączaniu konta użytkownika, co pozwala atakującym zachować uwierzytelniony dostęp z pierwotnymi uprawnieniami. Tokeny bearer wydane przed wyłączeniem konta nadal działają, ponieważ AuthInterceptor nigdy nie sprawdza ponownie statusu zablokowania użytkownika, a wygaśnięcie sesji resetuje się przy każdym żądaniu.

Wykryto lukę w kontrolerze wywołań szablonów wtyczki foreman_remote_execution. Akcja show_template_invocation_by_host rozwiązuje wywołanie zadania po ID bez sprawdzania uprawnienia view_job_invocations wobec rekordu. Uwierzytelniony użytkownik z ograniczoną widocznością wywołań zadań może enumerować identyfikatory i odczytywać dane innych użytkowników w swoich organizacjach.