Katalog podatności CVE

Craft CMS przed wersją 5.11.0 nie egzekwuje filtrów zakresu grup użytkowników na natywnych relacjach GraphQL użytkowników, w tym pól author, authors, uploader, draftCreator i revisionCreator. Atakujący z tokenem GraphQL o ograniczonym zakresie mogą odpytywać te relacje, aby odczytać nazwy użytkowników, adresy e-mail i pełne nazwy dowolnego autora lub przesyłającego treści, w tym administratorów.

Craft CMS przed wersją 5.10.11 zawiera podatność na obejście autoryzacji w ElementsController::actionDuplicate(), która pozwala uwierzytelnionym użytkownikom z uprawnieniem createEntries na usuwanie cudzych wstępnych wersji roboczych. Atakujący mogą wykorzystać parametr deleteProvisionalDraft, aby usunąć niezapisany szkic innego użytkownika bez odpowiednich kontroli autoryzacji, uzyskując dostęp do treści w trakcie tworzenia.

Craft CMS w wersjach od 5.0.0-RC1 do przed 5.10.11 zawiera podatność na trwały cross-site scripting w polu nazwy witryny, które nie oczyszcza danych wejściowych. Administratorzy mogą wstrzykiwać dowolne skrypty JavaScript w nazwie witryny, które wykonują się, gdy inni użytkownicy przeglądają strony ustawień panelu sterowania.

Craft CMS przed wersją 5.10.11 zawiera podatność na złamaną kontrolę dostępu w punkcie końcowym element-indexes/save-elements, która pozwala użytkownikom panelu sterowania przenosić wpisy do sekcji, których nie mogą edytować. Atakujący z ograniczonymi uprawnieniami do sekcji mogą przenosić lub publikować wpisy w nieautoryzowanych sekcjach, nadpisując atrybut sectionId po wstępnych kontrolach autoryzacji, omijając walidację uprawnień sekcji docelowej.

Podatność na cross-site scripting (XSS) wtyczki Gallery PhotoBlocks w wersjach do 1.3.4, dotycząca ról współautorów (Contributor).

Nieuwierzytelniony atak typu Denial of Service (DoS) w wtyczce WP Go Maps w wersjach do 10.1.08.

Nieuwierzytelniony atak typu Denial of Service (DoS) w wtyczce Really Simple SSL w wersjach do 9.8.0.

Podatność na Server Side Request Forgery (SSRF) w wtyczce Broken Link Checker w wersjach do 2.4.14, dotycząca ról edytorów (Editor).

Nieuwierzytelnione podatności IDOR w wtyczce PublishPress Permissions w wersjach do 4.8.3. Atakujący bez logowania może uzyskać dostęp do nieautoryzowanych zasobów.

Nieuwierzytelniona podatność Broken Access Control w wtyczce Ultimate Gift Cards For WooCommerce w wersjach do 3.2.9. Atakujący bez logowania może ominąć kontrolę dostępu.

Wtyczka Classified Listing (classified-listing) autorstwa Mamunur Rashid do wersji 6.1.3 ma brak autoryzacji, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL).

Podatność XSS (Cross Site Scripting) z poziomu użytkownika o roli Contributor w wtyczce WCFM Marketplace w wersjach do 3.8.2. Użytkownik z rolą Contributor może wstrzyknąć złośliwy skrypt.

Nieuwierzytelniona podatność Broken Access Control w wtyczce WP Event Solution w wersjach do 4.1.22. Atakujący bez logowania może ominąć kontrolę dostępu.

Podatność CSRF (Cross-Site Request Forgery) w motywie Grand Tour od ThemeGoods, umożliwiająca ataki CSRF. Dotyczy wersji od n/a do 5.5.1.

W Spark History Server przed wersją 3.5.8 brakuje escapowania XSS, co pozwala złośliwemu zadaniu Spark na wygenerowanie dowolnego nieescapowanego kodu frontendowego, co może prowadzić do minimalnej eskalacji uprawnień w przeglądarce. Podatność oznaczono jako 'niską', ponieważ wymaga stosunkowo wysokich uprawnień (możliwość uruchomienia zadania Spark) oraz nakłonienia użytkownika z wyższymi uprawnieniami do zalogowania się i odwiedzenia strony historii Spark.

W Eclipse Ditto w wersjach od 3.0.0 do 3.9.6 usługa Things pobiera modele WoT (Web of Things) ThingModels przez HTTP z adresów URL dostarczanych przez użytkowników API w polu definicji Thing lub Feature, bez walidacji hosta docelowego, i podąża za przekierowaniami HTTP bez ponownej walidacji celu i bez limitu przeskoków. Uwierzytelniony użytkownik z uprawnieniem do tworzenia Thing lub z uprawnieniem WRITE na istniejącym Thing może spowodować, że usługa Things wyśle dowolne żądania HTTP GET z wnętrza sieci wdrożenia – w tym do punktów końcowych metadanych instancji chmury i innych usług wewnętrznych – oraz może wykorzystać różne odpowiedzi błędów do enumeracji usług wewnętrznych. Wersje 2.4.0 do 2.5.x zawierają ten sam kod, ale są podatne tylko wtedy, gdy operator jawnie włączył przełącznik integracji WoT, który jest domyślnie wyłączony w tych wersjach.

Plik reset_password.html parsuje parametry ciągu zapytania i używa parametru 'url' jako celu przekierowania (window.location = url) po zresetowaniu hasła, opcjonalnie opóźnionego parametrem 'delay'. Brak walidacji lub listy dozwolonych adresów URL umożliwia atakującemu przekierowanie użytkowników na dowolną zewnętrzną stronę po zakończeniu procesu resetowania hasła.

Wtyczka Easy Waveform Player dla WordPress jest podatna na Stored Cross-Site Scripting przez funkcję shortcode_easywaveformplayer() we wszystkich wersjach do 1.2.2 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Motyw Divi dla WordPress jest podatny na Stored Cross-Site Scripting przez parametr `redirect_url` w shortcode `et_pb_contact_form` we wszystkich wersjach do 4.27.6 włącznie. Atrybut `redirect_url` jest sanityzowany funkcją `esc_attr()` zamiast `esc_url()` przed renderowaniem do atrybutu HTML `data-redirect_url`. Dodatkowo `redirect_url` nie znajduje się w tablicy `$url_options` w `class-et-builder-element.php`, więc nie otrzymuje sanityzacji `esc_url_raw()` podczas parsowania shortcode. Po udanym wysłaniu formularza JavaScript po stronie klienta odczytuje ten atrybut i przekazuje go bezpośrednio do `window.location.href`, wykonując dowolny JavaScript z URI `javascript:`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik wyśle formularz kontaktowy.

Wtyczka WordPress WPvivid — Backup, Migration & Staging przed wersją 0.9.133 nie sanityzuje listy identyfikatorów dostarczonej przez użytkownika przed użyciem jej w zapytaniu SQL, co pozwala administratorom na przeprowadzanie ataków SQL injection.