Katalog podatności CVE

Wykryto słabość w Invoice Ninja do wersji 5.13.26. Dotyczy nieznanej części pliku /vedor/profile/ komponentu Vendor Portal Profile Update. Manipulacja argumentem vendor_contact prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Aktualizacja do wersji 5.13.27 łagodzi ten problem. Poprawka nosi nazwę f86fd9697ce7bd0d28adbe2e6c5890780482ea90.

Podatność nieprawidłowej autoryzacji w ash-project ash zwraca rekordy, które polityka odczytu w czasie wykonania (runtime read policy) odmawia każdemu aktorowi. Gdy zasób ma politykę odczytu typu :runtime (sprawdzaną per rekord, a nie kompilowaną do filtra), Ash.Policy.Authorizer decyduje o każdym rekordzie w check_result/1, odrzucając niemożliwe scenariusze polityki i sprawdzając, co pozostaje. Gdy każdy scenariusz dla rekordu był niemożliwy, co oznacza, że żadna polityka nie może go autoryzować i musi być zabroniony, gałąź pustego scenariusza zamiast tego zachowywała rekord i zwracała go jako autoryzowany. Poprawka zabrania rekordu, którego wszystkie scenariusze są niemożliwe. Problem dotyczy ash od 3.4.44 przed 3.32.2.

Wtyczka LearnPress dla WordPressa jest podatna na SQL Injection przez parametr 'orderby' w akcji AJAX export_order_csv w wersjach do 4.4.4 włącznie. Wynika to z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL w funkcjach LP_Order::handle_params_query_list_orders() i DataBase::execute() — tylko wartości 'date' i 'title' są normalizowane, a każdy inny ciąg kontrolowany przez atakującego jest przypisywany bezpośrednio do właściwości order_by filtra i konkatenowany do klauzuli ORDER BY bez $wpdb->prepare() lub białej listy identyfikatorów. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych.

Wtyczka Photo Gallery by Ays – Responsive Image Gallery dla WordPressa jest podatna na ogólne SQL Injection przez parametr 's' we wszystkich wersjach do 6.8.2 włącznie, z powodu niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych. Podatność istnieje w dwóch ścieżkach wykonania — $wpdb->get_var() w record_count() i $wpdb->get_results() w prepare_items()/get_image_categories() — umożliwiając techniki eksfiltracji typu blind i UNION.

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'date' w shortcode'ach we wszystkich wersjach do 4.0.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to ustawienia opcji wppb_toolbox_shortcodes_settings[format-date] na 'yes' przez administratora, aby shortcode był aktywny i podatność możliwa do wykorzystania.

Wtyczka Cozy Blocks – Page Builder for Gutenberg Editor & FSE z 700+ wzorami, 58 blokami i szablonami dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 2.2.17 włącznie. Wynika to z nieprawidłowego weryfikowania, czy użytkownik jest uprawniony do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym pobranie nazwy, ceny, krótkiego opisu, URL obrazu, permalinka, statusu magazynowego i typu produktu produktów WooCommerce w wersjach roboczych, oczekujących, prywatnych i ukrytych w katalogu, które nie powinny być publicznie widoczne. Wartość sidebarNonce jest emitowana bezwarunkowo do publicznego HTML strony przez wiele rendererów bloków bez bramki logowania, co pozwala nieuwierzytelnionym odwiedzającym na zebranie ważnego nonce i przejście jedynej kontroli uwierzytelniania w handlerze.

Wtyczka Persistent Login dla WordPressa jest podatna na ogólne SQL Injection przez ciasteczko 'wppl_device_id' we wszystkich wersjach do 3.1.0 włącznie, z powodu niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych. Podatność jest możliwa do wykorzystania tylko wtedy, gdy funkcja Login History jest włączona.

Wtyczka Shopping Cart & eCommerce Store dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'product_order' we wszystkich wersjach do 5.9.2 włącznie. Atakujący z uprawnieniami administratora może dodać dodatkowe zapytania SQL do istniejących, co pozwala na wyciągnięcie wrażliwych danych z bazy. Jest to iniekcja drugiego rzędu, gdzie payload jest zapisywany do tabeli ec_pageoption bez sanityzacji, a później odczytywany z pominięciem ochrony magic quotes.

Wtyczka Live Composer – Free WordPress Website Builder jest podatna na przechowywany atak XSS przez shortcode 'dslc_custom_field' we wszystkich wersjach do 2.1.19 włącznie. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora na wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu zainfekowanej strony.

Wtyczka Live Composer – Free WordPress Website Builder jest podatna na przechowywany atak XSS przez atrybut 'custom_id' w shortcode'ach dslc_modules_section i dslc_modules_area w wersjach do 2.1.19 włącznie. Brak odpowiedniego escape'owania atrybutu powoduje wstrzyknięcie skryptów do atrybutu HTML id, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora na wykonanie dowolnych skryptów.

Wtyczka Frontend Admin by DynamiApps dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'tag' w shortcode'ach we wszystkich wersjach do 3.29.11 włącznie. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora na wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu zainfekowanej strony.

W bibliotece ash występuje podatność nieprawidłowej autoryzacji, która poszerza filtr zakresu relacji parent(...) tak, że dopasowuje niezamierzone rekordy, gdy nie można rozwiązać odwołania do pola nadrzędnego. W takich przypadkach odwołanie jest rozwiązywane do nil, co powoduje, że predykaty takie jak org_id == parent(org_id) stają się dopasowaniem IS NULL, a warunki typu is_nil(parent(org_id)) aktywują nieograniczoną gałąź, przez co relacja zwraca rekordy, które powinny być wykluczone. Poprawka powoduje błąd odczytu, gdy odwołanie parent(...) nie może być rozwiązane.

W bibliotece ash występuje podatność braku autoryzacji, która pozwala aktorowi na aktualizację rekordów zabronionych przez polityki zasobów poprzez ścieżkę atomową Ash.update_many/4. Gdy używana jest strategia atomowa, zapytanie aktualizuje wszystkie wiersze pasujące do klucza głównego bez stosowania polityk, co pozwala na modyfikację rekordów należących do innych aktorów lub tenantów. Poprawka ogranicza ścieżkę atomową do warstw danych wspierających filtry changeset, autoryzuje każdy changeset i scala filtr polityki.

W bibliotece ash występuje podatność nieprawidłowej kontroli dostępu, która pozwala akcji tworzenia nadpisać istniejący rekord, gdy używana jest warstwa danych ETS lub Mnesia, ponieważ nie egzekwują one unikalności klucza głównego. Atakujący, który może ustawić klucz główny podczas tworzenia, może cicho nadpisać istniejący rekord, niszcząc dane innego podmiotu bez przechodzenia przez akcję aktualizacji i jej polityki. Poprawka odrzuca tworzenie, gdy klucz główny już istnieje.

W bibliotece ash występuje podatność niekontrolowanego zużycia zasobów, która pozwala atakującemu na wyczerpanie pamięci węzła poprzez dopasowanie filtra obejmującego wiele relacji to-many w pamięci. Funkcja flatten_relationships/2 buduje pełny produkt kartezjański relacji, co prowadzi do kombinatorycznego wzrostu pamięci. Poprawka strumieniuje rozszerzanie leniwie i przerywa przy pierwszym pasującym scenariuszu.

W bibliotece ash występuje podatność nieprawidłowej walidacji wejścia, która pozwala atakującemu na trwałe zablokowanie odczytu rekordu poprzez zapisanie UUID niebędącego wersją 7 w atrybucie Ash.Type.UUIDv7. Podczas odczytu, zapisany binarny UUID nie pasuje do oczekiwanego formatu i zwraca błąd, co powoduje, że każdy późniejszy odczyt tego rekordu kończy się niepowodzeniem. Poprawka dekoduje dowolny 16-bajtowy binarny UUID bezpośrednio w cast_stored/2.

W bibliotece ash występuje podatność przepełnienia liczby całkowitej, która pozwala atakującemu na uszkodzenie przechowywanego wektora i spowodowanie awarii późniejszych odczytów poprzez przesłanie wektora z więcej niż 65 535 elementami. Liczba elementów jest pakowana w 16-bitowe pole bez sprawdzenia zakresu, co powoduje zawinięcie modułu 65 536 i niezgodność z rzeczywistą liczbą elementów. Poprawka odrzuca wektory o wymiarze przekraczającym 65 535.

Podatność na niekontrolowane zużycie zasobów w bibliotece ash pozwala atakującemu wymusić wykonanie kosztownego wyrażenia regularnego na danych wejściowych, które powinny zostać odrzucone przez ograniczenia długości. Walidacja typu Ash.Type.String.apply_constraints/2 nie sprawdzała ograniczeń długości przed zastosowaniem wzorca :match, co umożliwiało katastrofalną ocenę wyrażenia regularnego na dużych danych wejściowych. Poprawka pomija wzorzec :match, gdy ograniczenie długości jest naruszone.

Deserializator jackson-databind dla java.nio.file.Path rozwiązuje URI dostarczone przez atakującego bez ograniczania schematu URI. Może to pozwolić na wybranie i sterowanie dowolnym zarejestrowanym FileSystemProvider podczas deserializacji niezaufanego JSON. Wpływ jest ograniczony, jeśli dostępne są tylko wbudowane providery JDK, ale może być poważniejszy przy obecności zewnętrznych providerów.

Podatność na generowanie komunikatów błędów zawierających wrażliwe informacje w ash_typescript pozwala nieuwierzytelnionemu atakującemu odczytać wewnętrzne dane aplikacji z treści odpowiedzi HTTP 500. Gdy handler trasy zwraca wartość inną niż %Plug.Conn{}, funkcja unexpected_return/2 interpoluje pełną reprezentację wartości (w tym hasła, tokeny, identyfikatory) do komunikatu błędu.