Katalog podatności CVE

Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza kontroli autoryzacji na swoich trasach REST API i nie egzekwuje konsekwentnie kodu dostępu do klasy. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie podpisanego linku do dołączenia do spotkania dla dowolnej klasy, w tym chronionej kodem dostępu, oraz dołączenie z uprawnieniami moderatora.

Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie ma żadnej kontroli autoryzacji ani uwierzytelniania podczas zapisywania swoich ustawień. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie ustawień i przekierowanie wszystkich klas online oraz wspólnego sekretu używanego do podpisywania sesji na infrastrukturę wybraną przez atakującego.

Wtyczka WordPress HEL Online Classroom: AI-powered Online Classrooms do wersji 1.0.3 nie przeprowadza żadnej kontroli autoryzacji na jednej ze swoich tras REST API. Umożliwia to nieuwierzytelnionym użytkownikom pobranie zapisanych ustawień, w tym wspólnego sekretu używanego do podpisywania żądań API do połączonego serwera BigBlueButton.

Wtyczka WordPress Appointment Booking Calendar Plugin and Scheduling Plugin przed wersją 1.6.3 nie weryfikuje faktycznie zapłaconej kwoty z kwotą ustaloną po stronie serwera dla rezerwacji podczas potwierdzania płatności online. Umożliwia to nieuwierzytelnionym użytkownikom zatwierdzenie płatnej wizyty za ułamek jej ceny.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie ogranicza prawidłowo funkcji przesyłania plików na froncie, przyznając nieuwierzytelnionym odwiedzającym uprawnienia zarezerwowane dla uprzywilejowanych ról. Umożliwia to przeglądanie biblioteki multimediów witryny oraz modyfikowanie nieopublikowanych wpisów, stron i elementów multimedialnych należących do innych użytkowników.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie weryfikuje typu danych podczas deserializacji podczas importowania pliku konfiguracyjnego, umożliwiając użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataku PHP Object Injection. Dotknięta funkcja jest darmowym dodatkiem domyślnie wyłączonym, a w samej wtyczce nie ma łańcucha POP, więc dalszy wpływ wymaga odpowiedniego gadżetu z innej zainstalowanej wtyczki.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie escapuje danych wyjściowych jednego ze swoich opcjonalnych shortcode'ów, umożliwiając użytkownikom z rolą co najmniej contributora przeprowadzenie ataku Stored Cross-Site Scripting na każdego użytkownika przeglądającego dotkniętą treść, w tym administratorów. Shortcode nie jest domyślnie włączony.

Wtyczka WordPress Catfolders Document Gallery Pro przed wersją 2.0.7 nie autoryzuje niektórych swoich tras REST API, a token identyfikujący żądaną treść jest podrabialny po stronie klienta. Umożliwia to nieuwierzytelnionym użytkownikom listowanie i pobieranie zawartości folderów, które nigdy nie zostały opublikowane na stronie.

Wtyczka WordPress MStore API przed wersją 4.21.1 nie weryfikuje, czy zamówienie obsługiwane przez płatność portfelem należy do osoby żądającej, i nie potrąca salda portfela dla większości metod płatności. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentom, oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Wtyczka MStore API dla WordPressa przed wersją 4.21.1 nie weryfikuje, czy zamówienie wskazane przez jeden z jej endpointów dostawy należy do osoby żądającej. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi, oznaczenie dowolnych zamówień jako zrealizowanych i opłaconych bez dokonania płatności.

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie wykonuje żadnej kontroli nonce ani uprawnień podczas zapisywania jednego z ekranów ustawień i zapisuje każdy przesłany parametr do własnych opcji. Umożliwia to atakującym nakłonienie zalogowanego administratora do nadpisania dowolnych ustawień wtyczki, w tym poświadczeń chroniących jej API, poprzez atak Cross-Site Request Forgery.

Wtyczka Newsletters dla WordPressa przed wersją 4.17 nie generuje klucza API przy użyciu wystarczająco losowego źródła, wyprowadzając go z publicznie znanej wartości. Umożliwia to nieuwierzytelnionym atakującym obliczenie klucza i wykonywanie uprzywilejowanych działań, takich jak dodawanie i usuwanie subskrybentów oraz wysyłanie e-maili, gdy opcjonalne API zostało włączone.

Wtyczka Total processing card payments for WooCommerce dla WordPressa do wersji 7.3 nie weryfikuje ścieżki podanej przez użytkownika przed użyciem jej do zbudowania żądania weryfikacji po stronie serwera i nie weryfikuje autentyczności odpowiedzi. Umożliwia to nieuwierzytelnionym atakującym przekierowanie tego żądania na dowolny host (ujawniając poświadczenia bramki płatniczej sprzedawcy) oraz sfałszowanie odpowiedzi oznaczającej dowolne zamówienia WooCommerce jako opłacone.

Wtyczka SmartAIPress dla WordPressa do wersji 1.2.0 nie wykonuje kontroli uprawnień w jednej ze swoich akcji AJAX i nie weryfikuje adresu URL podanego przez użytkownika przed pobraniem go po stronie serwera. Umożliwia to użytkownikom z poziomem subskrybenta i wyższym nakłonienie witryny do pobrania dowolnych wewnętrznych lub zewnętrznych adresów URL i odczytania odpowiedzi, co prowadzi do pełnego odczytu Server-Side Request Forgery.

Wtyczka Uix UserCenter dla WordPressa do wersji 1.0.3 nie weryfikuje, czy konto modyfikowane przez nieuwierzytelnioną akcję aktualizacji profilu należy do osoby żądającej, a uwierzytelnia tę akcję tokenem, którego klucz podpisujący jest zaszyty na stałe i identyczny dla każdej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie tokenu dla dowolnego użytkownika, nadpisanie adresu e-mail i hasła administratora oraz przejęcie konta.

Wtyczka Rest Routes dla WordPressa do wersji 5.5.5 nie sanityzuje i nie weryfikuje wartości pobranej z adresu URL jednej ze swoich publicznych tras REST przed użyciem jej w zapytaniu SQL. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków SQL injection.

Wtyczka MemberHero dla WordPressa do wersji 6.9 nie ogranicza, które pola konta mogą być dostarczone podczas procesu rejestracji frontendowej. Umożliwia to nieuwierzytelnionym atakującym rejestrację nowego użytkownika z dowolną rolą, w tym Administratorem, co prowadzi do całkowitego przejęcia witryny. Wersja 6.9 jest reklamowana jako rozwiązująca ten problem, ale poprawka jest niekompletna i obecna wersja pozostaje podatna na ataki.

Podatność przechwytywania ruchu w BOSH Director vCenter CPI umożliwia atakującemu znajdującemu się pomiędzy BOSH Director a vCenter podszycie się pod API REST vCenter i przechwycenie poświadczeń administratora przesyłanych przez HTTP Basic auth. Prowadzi to do całkowitego przejęcia infrastruktury wirtualizacyjnej.

Graylog w wersjach od 6.2.0 do 6.3.12, 7.0.7 i 7.1.2 ma podatność w endpointcie DELETE /users/{userId}/tokens/{idOrToken}, gdzie sprawdzane są uprawnienia USERS_TOKENREMOVE dla parametru userId kontrolowanego przez atakującego, zanim zostanie rozwiązany token wybrany przez idOrToken. Uwierzytelniony użytkownik może podać autoryzowany userId, podczas gdy loadById() lub load() rozwiązuje token należący do innego użytkownika, w tym konta usługowego lub administratora, po czym destroy() usuwa ten token bez sprawdzenia AccessToken.getUserName(). Problem nie ujawnia zawartości tokena, ale nieautoryzowane usunięcie ma wpływ na integralność i może zakłócić integracje oparte na tokenach.

MariaDB Connector/R2DBC przed wersją 1.4.1 nie blokuje pluginów uwierzytelniania hasłem w postaci jawnego tekstu, gdy połączenie nie jest szyfrowane. Wrogi lub man-in-the-middle serwer MariaDB może wysłać AuthSwitchRequest z nazwą mysql_clear_password lub dialog (PAM) przez niezabezpieczone połączenie TCP, a AuthenticationFlow pozwala ClearPasswordPluginFlow lub PamPluginFlow na wysłanie hasła użytkownika jako jawnego tekstu. Ujawnione poświadczenia mogą być następnie użyte do bezpośredniego uwierzytelnienia do serwera bazy danych.