Katalog podatności CVE

W bibliotece bc-csharp przed wersją 2.7.0 funkcja IesEngine.DecryptBlock wykazuje zauważalną różnicę w zachowaniu przy błędzie dopełnienia i błędzie MAC. Atakujący, który przechwycił szyfrogram IES/ECIES, może wykorzystać atak typu padding-oracle do odzyskania tekstu jawnego.

W bibliotece bc-csharp przed wersją 2.7.0 mechanizm składania pakietów DTLS (DtlsReliableHandshake, DtlsReassembler) alokuje pamięć na podstawie 24-bitowej długości z nagłówka fragmentu, bez sprawdzenia maksymalnego rozmiaru wiadomości. Zdalny atakujący może wysłać spreparowane fragmenty, powodując wyczerpanie pamięci i odmowę usługi.

Wtyczka WordPress WP Mail Logging w wersji przed 1.17.0 nie ogranicza prawidłowo HTML i CSS logowanych e-maili przed ich wyświetleniem w ekranach dziennika administratora. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie stylizowanej treści i linków, na przykład przez publiczny formularz kontaktowy, które mogą oszukać administratora przeglądającego dziennik i przekierować jego przeglądarkę na stronę kontrolowaną przez atakującego.

W bibliotece bc-csharp przed wersją 2.7.0 w trybie strumieniowym IesEngine klucz MAC jest wyprowadzany bezpośrednio po strumieniu klucza, który zależy tylko od statycznego klucza i parametrów. Atakujący, który zna tekst jawny jednej wiadomości, może sfałszować krótsze wiadomości, które zostaną uznane za autentyczne.

W bibliotece bc-csharp przed wersją 2.7.0 implementacja trybu CCM algorytmu DSTU 7624 (KCcmBlockCipher) nie przetwarza bloku G1, gdy nie ma danych stowarzyszonych. Atakujący, który obserwuje zaszyfrowane wiadomości o znanej lub wybranej treści, może sfałszować szyfrogramy z prawidłowymi tagami uwierzytelniającymi.

W bibliotece bc-csharp przed wersją 2.7.0 implementacja AES-CCM (CcmParameters i CcmBlockCipher) nieprawidłowo waliduje długość tagu uwierzytelniającego. Atakujący może zmodyfikować zaszyfrowaną treść CCM bez wykrycia, używając AlgorithmIdentifier z tagiem o długości zero lub spoza dozwolonego zestawu.

Wtyczka WordPress CMP – Coming Soon & Maintenance w wersji przed 4.1.20 nie ogranicza prawidłowo dostępu do witryny, gdy włączony jest tryb konserwacji/coming-soon. Umożliwia to nieuwierzytelnionym odwiedzającym obejście strony coming-soon i dostęp do ukrytej witryny, w tym ukrytych opublikowanych stron, poprzez ukształtowanie żądania tak, aby zostało ono pomylone z żądaniem logowania.

Wtyczka BA Book Everything dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'booking_service_qty'. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.

Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.

Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie usuwa klucza tajnego reCAPTCHA z ustawień giveaway osadzanych na publicznych stronach giveaway. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie klucza tajnego dowolnego aktywnego giveaway, który ma skonfigurowaną reCAPTCHA.

Wtyczka WordPress BuildKit w wersji przed 1.0.29 nie sanityzuje i nie escapuje prawidłowo danych przesyłanych przez użytkowników z poziomem współpracownika przed ich zapisaniem i późniejszym użyciem w zapytaniu SQL. Umożliwia to współpracownikowi wstrzyknięcie SQL, który zostanie wykonany na bazie danych, gdy wynikowa treść zostanie opublikowana i wyświetlona przez dowolnego nieuwierzytelnionego odwiedzającego.

Wtyczka Ninja Forms - File Uploads dla WordPressa jest podatna na dowolne operacje na plikach w wersjach do 3.3.34 przez zewnętrzny przepływ przesyłania (Amazon S3). Wtyczka ufa ścieżce pliku podanej przez atakującego, co pozwala na odczyt, zapis lub usunięcie dowolnych plików na serwerze.

Wtyczka SiteOrigin Widgets Bundle dla WordPressa (wersje do 1.73.2 włącznie) jest podatna na lokalne włączenie plików (LFI) poprzez parametr 'theme'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może włączyć i wykonać dowolne pliki .php na serwerze, co prowadzi do wykonania kodu PHP. Wykorzystanie wymaga wysłania złośliwego ładunku widgetData z kluczem 'theme' na endpoint REST /wp-json/sowb/v1/widgets/previews.

Wtyczka OMGF | GDPR/DSGVO Compliant, Faster Google Fonts dla WordPressa w wersjach przed 6.3.11 nie wymaga uwierzytelnienia ani ważnego nonce w akcji wykonującej powolne zapytanie zwrotne po stronie serwera. Umożliwia to nieuwierzytelnionym atakującym wyczerpanie puli procesów PHP i niedostępność całej witryny.

Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.

Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.

Wtyczka WordPress Request a Quote w wersji do 2.5.6 nie wykonuje sprawdzenia autoryzacji w jednym ze swoich nieuwierzytelnionych handlerów AJAX. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie rekordów kontaktowych zgłoszeń wyceny, w tym rekordów, których witryna nie opublikowała.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.

Wtyczka Popup Maker do WordPressa w wersji do 1.4.5 nie sprawdza uprawnień w jednej z akcji związanych z połączeniem konta, weryfikując jedynie nonce. Umożliwia to uwierzytelnionym użytkownikom z minimalnymi uprawnieniami, takim jak subskrybenci, nadpisanie opcji całej witryny (powiązanego konta usługi i konfiguracji API), która powinna być modyfikowalna tylko przez administratorów.