Katalog podatności CVE

Punkt końcowy plugin/TopMenu/menus.json.php w WWBN AVideo nie wymaga uwierzytelnienia. Nieuwierzytelnieni atakujący mogą odczytać wszystkie dane menu, w tym nazwy menu nieaktywnych i przeznaczonych tylko dla administratorów, które nie są widoczne w publicznym pasku nawigacji.

Punkt końcowy playListAddVideo.json.php w WWBN AVideo nie weryfikuje uprawnień do oglądania przy dodawaniu filmów do playlist. Uwierzytelnieni atakujący mogą dodawać filmy chronione hasłem, których nie mogą obejrzeć, do własnych playlist, podając identyfikatory filmu i playlisty.

Punkt końcowy plugin/TopMenu/menuItems.json.php w WWBN AVideo zawiera lukę braku uwierzytelnienia. Nieuwierzytelnieni atakujący mogą odczytać nieaktywne elementy menu administratora, wysyłając żądanie POST z parametrem menuId, w tym ukryte adresy URL z wbudowanymi tajnymi parametrami zapytań narzędzi administracyjnych.

Punkt końcowy playlistsFromUser.json.php w WWBN AVideo zawiera lukę braku autoryzacji. Nieuwierzytelnieni atakujący mogą odczytać prywatne playlisty innych użytkowników, podając ich identyfikator, w tym playlisty Ulubione i Do obejrzenia, z powodu nieprawidłowego kluczowania pamięci podręcznej.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 nie autoryzuje dostępu do endpointu API adsInfo. Nieuwierzytelniony atakujący może wywołać adsInfo z parametrem videos_id i uzyskać identyfikator właściciela chronionego hasłem wideo oraz spersonalizowane adresy URL kreacji reklamowych bez żadnych sprawdzeń uprawnień.

Flowise w wersjach do 3.1.3 włącznie udostępnia endpoint POST /api/v1/node-load-method/:name bez sprawdzania uprawnień na poziomie trasy, wywołując loadMethods z parametrami nodeName, loadMethod, inputs i credential kontrolowanymi przez atakującego. Poświadczenie jest rozwiązywane po surowym Credential.id przez getCredentialData() i odszyfrowywane bez weryfikacji Credential.workspaceId względem aktywnego lub współdzielonego workspace wywołującego. Uwierzytelniony użytkownik o niskich uprawnieniach (lub klucz API workspace) z jednego workspace może podać identyfikator poświadczenia należącego do innego workspace, powodując że Flowise działa jako confused deputy i wykonuje wywołania do zewnętrznych dostawców z poświadczeniem ofiary, zwracając metadane dostawcy atakującemu. Dotyczy to m.in. Google Drive listFiles, Google Sheets listSpreadsheets i AWS DynamoDB KV Storage listTables. Sam sekret poświadczenia nie jest zwracany atakującemu. Podatność naprawiono w wersji 3.1.4.

Flowise przed 3.1.4 zawiera podatność typu broken access control w GET /api/v1/organizationuser, która pozwala każdemu uwierzytelnionemu członkowi organizacji pobrać pełny rekord użytkownika będącego właścicielem organizacji, w tym hash hasła bcrypt i tokeny tymczasowe. Atakujący może odpytać endpoint z dowolnym identyfikatorem użytkownika, aby uzyskać hash poświadczeń właściciela do złamania offline.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa w wersjach do 2.4.9 włącznie jest podatna na Stored Cross-Site Scripting poprzez wiele widgetów Elementora. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru 'load_manually' w metodach render() klas. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi, mogący korzystać z Elementora, może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

MCPHub w wersjach przed 1.0.32 zawiera podatność obejścia uwierzytelniania w wbudowanym serwerze autoryzacji OAuth 2.0, w którym uwierzytelnianie klienta jest domyślnie wyłączone, a wymuszanie PKCE jest opcjonalne. Atakujący, który przechwyci kod autoryzacji, może wymienić go na tokeny dostępu bez podawania sekretu klienta lub weryfikatora PKCE, uzyskując dostęp do kont ofiar i ich uprawnień.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia liczby całkowitej w MessageUnpacker.skipValue() podczas przetwarzania kontenerów MAP32 z dużą liczbą elementów. Atakujący może podać liczbę elementów MAP32 równą lub większą niż 0x40000000, która przy podwojeniu ulega zawinięciu, powodując desynchronizację kursora parsera i zwrócenie danych kontrolowanych przez atakującego w miejsce późniejszych pól.

msgpack-java w wersjach do 0.9.12 włącznie zawiera podatność przepełnienia stosu w MessageUnpacker.unpackValue(), która rekurencyjnie deserializuje tablice i mapy bez ograniczeń głębokości zagnieżdżenia. Atakujący może przygotować ładunki z głęboko zagnieżdżonymi tablicami, aby wyczerpać stos wątku deserializującego i wywołać StackOverflowError, powodując błędy deserializacji dla poszczególnych żądań.

Podatność niewłaściwej ochrony fizycznych kanałów bocznych w Microchip AN1044, Microchip AN953 i Microchip SW300052. Problem dotyczy AN1044 do wersji A, AN953 do wersji A oraz SW300052 do wersji 2.6.

Wtyczka MPG – Multiple Page Generator, Bulk Landing Pages & Programmatic SEO dla WordPressa w wersjach do 4.2.1 włącznie jest podatna na ogólną iniekcję SQL poprzez ścieżkę URL z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionemu atakującemu z poziomem subskrybenta i wyższym dołączenie dodatkowych zapytań SQL do istniejących zapytań w celu wyodrębnienia poufnych informacji z bazy danych. Podatność jest wykorzystywana tylko wtedy, gdy shortcode [mpg_spintax] jest renderowany w treści obejmującej całą witrynę, takiej jak stopka lub część szablonu.

Wtyczka Smart Marketing SMS and Newsletters Forms dla WordPressa jest podatna na wstrzyknięcie SQL (SQL Injection) poprzez nazwę parametru we wszystkich wersjach do 5.1.24 włącznie, z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może dołączać dodatkowe zapytania SQL do istniejących zapytań i wyciągać poufne dane z bazy danych. Wykorzystanie wymaga włączonej funkcji synchronizacji wtyczki oraz niepustej opcji egoi_mapping.

Wtyczka Royal Addons for Elementor – Addons and Templates Kit for Elementor dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.7.1066 włącznie poprzez parametr 'wpr_keyword'. Nieuwierzytelniony atakujący może wyciągać dowolne wartości postmeta ze wszystkich opublikowanych wpisów, dopasowując znak po znaku w całej tabeli wp_postmeta. Wymagany nonce jest publicznie emitowany przez wp_localize_script na każdej stronie frontendu ładującej widget Royal Elementor, więc nie jest potrzebna sesja ani wcześniejsze działanie.

Wtyczka DT LMS – elearning, WordPress LMS dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w wielu handlerach AJAX (m.in. dtlms_save_poc_settings, dtlms_save_skin_settings, dtlms_save_options_settings) w wersjach do 1.1 włącznie. Handlery te są zarejestrowane na hooku wp_ajax_nopriv_* i nie zawierają sprawdzenia uprawnień ani weryfikacji nonce, przekazując dane od użytkownika bezpośrednio do update_option(). Nieuwierzytelniony atakujący może nadpisać dowolne opcje wtyczki w tabeli wp_options, w tym konfigurację e-mail Point-of-Contact oraz ustawienia skina/brandingu.

Wtyczka Product XML Feed Manager for WooCommerce dla WordPressa w wersji przed 3.1.1 nie ogranicza, którą metodę obiektu może wywołać jej shortcode produktu, ani nie sprawdza uprawnień użytkownika do docelowego produktu. Umożliwia to użytkownikom z uprawnieniami współtwórcy usunięcie dowolnych produktów WooCommerce poprzez podgląd wpisu zawierającego ten shortcode.

Wtyczka WPBot dla WordPressa w wersji przed 8.5.7 nie wykonuje żadnej autoryzacji ani sprawdzenia nonce w kilku akcjach AJAX, które przekazują zapytania do skonfigurowanych dostawców AI. Umożliwia to nieuwierzytelnionym atakującym wykonywanie wywołań API stron trzecich i generowanie kosztów przy użyciu kluczy API skonfigurowanych w witrynie.

Wtyczka WPBot dla WordPressa w wersji przed 8.6.0 nie wykonuje żadnego sprawdzenia uprawnień ani nonce w akcji AJAX, która wyświetla zapisane sesje czatu. Umożliwia to nieuwierzytelnionym atakującym pobranie imienia, adresu e-mail i numeru telefonu każdego odwiedzającego czat poprzez żądanie szerokiego zakresu dat.

Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.3 nie wykonuje żadnego sprawdzenia autoryzacji w punkcie końcowym zwracającym szczegóły potwierdzenia rezerwacji, a każda rezerwacja jest identyfikowana kolejnym numerem. Umożliwia to nieuwierzytelnionym atakującym odczytanie imienia, adresu e-mail, numeru telefonu, szczegółów rezerwacji i statusu płatności dowolnego klienta poprzez enumerację identyfikatora.