Katalog podatności CVE

Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa (wersje do 3.16.0.6 włącznie) ma obejście autoryzacji wynikające z braku weryfikacji uprawnień użytkownika. Nieuwierzytelniony atakujący może pobrać dane rozliczeniowe (imię i nazwisko, adres, e-mail, telefon) dla dowolnego zamówienia WooCommerce, podając kolejny identyfikator zamówienia.

Wtyczka Modula Image Gallery dla WordPressa (wersje do 3.0.11 włącznie) jest podatna na ujawnienie poufnych informacji poprzez parametr 'id' w /wp-json/wp/v2/modula-gallery/{id}. Nieuwierzytelniony atakujący może wyodrębnić hasło i nazwę użytkownika zabezpieczające galerię z pola modulaSettings REST dla każdej opublikowanej galerii.

Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym użytkownikom na wykonywanie dowolnych shortcode'ów, ponieważ wartość przekazywana do do_shortcode nie jest prawidłowo walidowana. Wykorzystanie jest możliwe na każdej instalacji z motywem blokowym poprzez pojedyncze żądanie GET do strony wyników wyszukiwania lub przez anonimowy komentarz, bez potrzeby posiadania treści Forminator.

Wtyczka miniOrange OTP Login dla WordPressa (wersje do 5.5.8 włącznie) jest podatna na obejście uwierzytelniania poprzez funkcję mo_by_pass_login(). Funkcja mo_delay_otp_process() skraca proces uwierzytelniania przed walidacją hasła, a flaga Delay OTP jest przechowywana w metadanych użytkownika bez powiązania z sesją, co pozwala nieuwierzytelnionemu atakującemu zalogować się jako dowolny użytkownik, w tym administrator.

Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.

Wtyczka Gwolle Guestbook dla WordPressa (wersje do 5.1.1 włącznie) jest podatna na odbity Cross-Site Scripting poprzez parametr 'permalink' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.

Wtyczka Forminator Forms dla WordPressa (wersje do 1.58.1 włącznie) pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych shortcode'ów, ponieważ funkcja forminator_replace_quiz_form_data() wywołuje do_shortcode() na treści powiadomienia po podstawieniu znacznika {quiz_result}, a wcześniej podstawione znaczniki {user_agent} i {refer_url} zawierają dane kontrolowane przez atakującego, które nie są pozbawiane nawiasów kwadratowych. Wystarczy przesłać quiz, którego szablon powiadomienia zawiera {quiz_result}.

Wtyczka Complianz GDPR/CCPA Cookie Consent Banner dla WordPressa (wersje do 7.5.5 włącznie) jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez zawartość komentarzy i filtr yotu-wp Cookie-Blocker z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Backuply dla WordPressa (wersje do 1.5.8) jest podatna na wstrzyknięcie SQL typu second-order poprzez pole 'Biographical Info'. Wartość jest eksportowana bez zabezpieczeń do zrzutu SQL kopii zapasowej, a przy późniejszym przywracaniu kopii złośliwy ładunek może wykonać dowolne zapytania SQL z pełnymi uprawnieniami bazy danych.

Wtyczka Dark Mode – Improve Accessibility with AI Powered Dark Theme dla WordPressa (wersje do 5.3.17 włącznie) jest podatna na trwały Cross-Site Scripting poprzez atrybut shortcode 'icon_light' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa (wersje do 5.2.1 włącznie) jest podatna na Insecure Direct Object Reference poprzez parametr 'password' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami vendor może zmienić hasło do konta WordPress dowolnego klienta, który złożył co najmniej jedno zamówienie u tego vendora, co umożliwia przejęcie konta klienta.

Wtyczka Cooked – Recipe Management dla WordPressa (wersje do 1.16.1 włącznie) jest podatna na trwały Cross-Site Scripting poprzez zawartość shortcode [cooked-timer] z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wheels CLI w wersjach 4.0.0–4.1.1 niewystarczająco waliduje lub escapuje wartości podane przez użytkownika oraz zawartość pakietów. Może to prowadzić do wykonania poleceń powłoki na hostach wdrożeniowych i w runnerze CI, usunięcia niepożądanych plików, nadpisania plików innych dostawców, zapisu poza projektem, wstrzyknięcia wykonywalnego CFML, przechowywanego XSS oraz zakończenia niepowiązanego procesu.

Wheels w wersjach do 4.1.1 włącznie wyznacza domyślny adres e-mail do zgłaszania błędów produkcyjnych na podstawie nagłówka Host żądania, które uruchamia aplikację. Jeśli nie skonfigurowano jawnego odbiorcy, atakujący może wywołać zimny start i przekierować późniejsze e-maile z błędami na swój adres, ujawniając metadane błędów i żądań, a w niektórych przypadkach także sekrety konfiguracji i dane sesji innych użytkowników. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 3.0.0 do 4.1.1 może ujawnić szczegółowe wyjątki, gdy allowIPBasedDebugAccess=true (domyślnie wyłączone). Żądanie dozwolonego administratora zmienia ustawienia wyświetlania błędów w współdzielonym zakresie aplikacji, a jeśli nakłada się na żądanie nieautoryzowanego klienta, który wywoła błąd, klient ten może otrzymać pełne szczegóły wyjątku, w tym kontekst tagu lub serializowany wyjątek oraz zawarte w nich dane wrażliwe. Poprawka została wydana w wersji 4.1.2.

Wheels w wersjach od 4.0.0 do 4.1.2 używa porównań bez rozróżniania wielkości liter w sprawdzaniu zawierania ścieżek na systemach plików wrażliwych na wielkość liter. Sprawdzenia ścieżek kanonicznych dla wpisów ZIP, mapowań pakietów, zasobów deweloperskich, obrazów i tagów obrazów mogą zaakceptować ścieżki przez istniejące dowiązanie symboliczne do katalogu różniącego się wielkością liter, umożliwiając dostęp poza zamierzonym katalogiem głównym, w tym ograniczone ujawnienie plików. Dodatkowo sprawdzenie wyjścia zrzutu bazy danych CLI może zapisywać poza katalogiem aplikacji do istniejącego zapisywalnego katalogu sąsiedniego różniącego się wielkością liter; wymaga to bramki CLI POST, loopback i hasła. Naprawiono w 4.2.0.

Wheels w wersjach 1.1–4.1.2 rozwiązuje rekordy nestedProperties() na podstawie przesłanego klucza głównego bez sprawdzenia, czy należą do zapisywanego rodzica. Użytkownik może zaktualizować, przepisać lub usunąć rekordy hasMany/hasOne innego rodzica, a także edytować rekordy belongsTo, podając klucz innego powiązanego rekordu.

Wheels w wersjach 4.0.0–4.1.2 udostępnia narzędzia deweloperskie bez hasła pod /wheels/* zdalnym klientom, gdy enablePublicComponent=true (domyślnie w środowisku deweloperskim). W wersji 4.1.2 ograniczenie lokalnego dostępu opiera się na nagłówkach dostarczanych przez klienta bez weryfikacji peera.

Wheels w wersjach 4.0.0–4.1.2 przed 4.2.0 zastępuje warunki zakresu przychodzącego warunkiem klucza głównego w findByKey() i exists(key=). W przypadku exists(key=) w środowisku produkcyjnym z wyłączonymi informacjami o błędach zwracane jest true dla klucza spoza zakresu zamiast zgłoszenia wyjątku.