Katalog podatności CVE

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.

Wtyczka Duplicate Post dla WordPressa do wersji 1.5.6 włącznie jest podatna na trwały XSS przez parametr 'noti_token'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wymaga to włączenia przez administratora uprawnień dla roli Subscriber w ustawieniach wtyczki.

Wtyczka Forminator Forms – Contact Form, Payment Form & Custom Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole tekstowe rich-text we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Skuteczne wykorzystanie wymaga, aby administrator otworzył zapisany wpis zgłoszenia w widoku Forminator Entries i wszedł w interakcję z umieszczonym linkiem, wówczas jQuery'owy handler kliknięcia WordPress na '.contextual-help-tabs a' zinterpretuje zdekodowany href jako HTML, uruchamiając ładunek atakującego w uwierzytelnionej sesji wp-admin administratora.

Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.316 włącznie jest podatna na dowolne usuwanie plików i katalogów. Podatność wynika z braku kontroli uprawnień w handlerze AJAX `super_save_form`, który pozwala użytkownikom z poziomem Subscriber na tworzenie i modyfikację formularzy oraz włączenie ustawienia `file_upload_submission_delete`, a także z nieodpowiedniego przekazywania wartości `files[].subdir` do funkcji `SUPER_Common::delete_dir()` bez sanityzacji. Ochrona `ABSPATH` może być łatwo ominięta przez podanie wartości `wp-config.php`, co pozwala na rekurencyjne usuwanie plików i katalogów na serwerze, aż do całkowitego usunięcia instalacji WordPressa.

Wtyczka Autoptimize dla WordPressa do wersji 3.1.15.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ścieżkę REQUEST_URI. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnych skryptów webowych, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Warunkiem wykorzystania jest aktywacja funkcji Critical CSS z poprawnie skonfigurowanym kluczem API.

MISP zawiera podatność na odbity XSS w panelu notatek danych analityka. Parametr seed path, dostarczany przez użytkownika w URL, jest przekazywany bezpośrednio do JavaScript w odpowiedzi HTML bez sanitizacji. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL, co pozwala na wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Podatność dotyczy wersji przed poprawką (commit 58925dbf0, po v2.5.48).

MISP zawiera podatność na odbity XSS w formularzach potwierdzenia tagów taksonomii (dodawanie i wyłączanie tagów). Formularze te wyświetlały wartość tagu dostarczoną przez użytkownika bez escape'owania. Atakujący może nakłonić administratora do odwiedzenia spreparowanego URL z złośliwym tagiem, co pozwala na wykonanie dowolnego JavaScript w sesji administratora. Podatność dotyczy wersji <2.5.48.

MISP zawiera podatność polegającą na obejściu autoryzacji w funkcji spłaszczania zdarzeń. Podczas żądania zdarzenia z opcją flatten, kontrola dostępu na poziomie obiektów nie jest ponownie stosowana do atrybutów, co umożliwia nieautoryzowany dostęp do danych. Dodatkowo, początkowa poprawka wprowadziła problem z usuniętymi atrybutami, który został naprawiony w finalnej wersji.

Ten numer CVE został odrzucony. Powód odrzucenia: to jest odrzucone.

MISP zawiera podatność w procesie weryfikacji dwuskładnikowego uwierzytelniania (TOTP), która pozwala na wielokrotne użycie ważnego kodu jednorazowego w ramach jego okna czasowego. System nie rejestrował, czy dany okres TOTP został już zużyty, więc ten sam kod pozostawał ważny przez cały czas (zwykle 30 sekund). Atakujący, który przechwyci legalny kod podczas logowania użytkownika, może go powtórzyć, aby uwierzytelnić drugą sesję jako ten użytkownik.

colmux w collectl przed wersją 4.3.20.2 nie sanityzuje sekwencji escape ANSI/VT100 w danych otrzymywanych z zdalnych instancji collectl przed ich wyświetleniem. Pozwala to lokalnemu użytkownikowi na monitorowanym hoście na wstrzyknięcie sekwencji escape do terminala operatora uruchamiającego colmux, poprzez spreparowaną nazwę procesu (argv[0]).

Wtyczka bbp style pack dla WordPressa do wersji 6.4.8 włącznie jest podatna na trwały XSS przez parametry 'display_name' i 'bbp_reply_content'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Skuteczny atak wymaga umieszczenia odpowiedzi w bloku <pre>, aby uniknąć konwersji cudzysłowów.

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (nazwa wybrana przez atakującego, pasująca do formularza url.<name>). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie pola Text Area z wartością 'url.<name>' i wyłączonym predefinedClick.

Wtyczka Calculated Fields Form dla WordPressa do wersji 5.5.1.3 włącznie jest podatna na odbity DOM-based XSS przez parametr 'x' (dowolny parametr URL używany w równaniu formularza). Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie publicznego formularza z dropdownem Select2, którego opcje są wypełniane przez równanie używające GETURLPARAMETER() i setChoices().

Wtyczka LearnPress – WordPress LMS Plugin dla WordPressa do wersji 4.4.8 włącznie jest podatna na Insecure Direct Object Reference (IDOR) poprzez callback `CourseMaterialTemplate::render_material_items()` wystawiony na publicznym endpointcie `lp-ajax-handle` (load_content_via_ajax). Endpoint nie wymaga nonce ani kontroli uprawnień, a handler `render_material_items()` autoryzuje na podstawie jednego identyfikatora (course_id), podczas gdy pobiera dane materiałów na podstawie drugiego, niezależnego identyfikatora (item_id), bez sprawdzenia, czy lekcja należy do autoryzowanego kursu. Pozwala to nieuwierzytelnionym atakującym na odczyt i pobieranie plików materiałów kursu (ścieżki plików przesłanych i zewnętrznych) należących do lekcji w płatnych kursach lub wymagających zapisu, pod warunkiem, że na stronie istnieje kurs z włączoną opcją 'No Required Enroll' i posiada co najmniej jeden plik materiału.

Wtyczka Social Media Share Buttons & Social Sharing Icons dla WordPressa do wersji 3.0.1 włącznie jest podatna na odbity XSS przez URL. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Atak wymaga, aby ofiara była na urządzeniu mobilnym i kliknęła ikonę WeChat, ale po otwarciu okna skrypt wykonuje się automatycznie.

Wiele urządzeń wielofunkcyjnych i drukarek, w tym Apeos C4571 1.1.3 i wcześniejsze oraz Apeos C3567 1.1.3, ma podatność na path traversal w interfejsie zarządzania przez sieć. Podatność dotyczy obsługi zewnętrznie dostarczanych parametrów. Specjalnie spreparowane żądanie może wywołać nieoczekiwane przetwarzanie.

Wtyczka Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do 2.15.0 włącznie, poprzez parametr `checkout_form` funkcji `login_customer_after_checkout`. Publicznie dostępny handler AJAX `wu_ajax_nopriv_wu_validate_form` akceptuje swobodnie dostępny nonce checkout, a parametr `checkout_form=wu-finish-checkout` powoduje, że `get_validation_rules()` odrzuca wszystkie reguły walidacji, podczas gdy `finish_checkout_form_fields()` zwraca pustą listę kroków — wymuszając `is_last_step()` na true i kierując żądanie bezpośrednio do pełnego przetwarzania zamówienia — po czym `maybe_create_customer()` rozwiązuje podany przez atakującego `email_address` na istniejący identyfikator użytkownika WordPressa bez uwierzytelnienia lub weryfikacji własności, a `login_customer_after_checkout()` wywołuje `wp_set_auth_cookie()` dla tego identyfikatora użytkownika przez bezhasłową ścieżkę kodu. To umożliwia nieuwierzytelnionym atakującym zalogowanie się jako dowolny istniejący użytkownik WordPressa — w tym Super Admin sieci — po prostu znając ich adres e-mail. Eksploatacja wymaga, aby docelowe konto użytkownika nie miało wcześniej istniejącego rekordu klienta Ultimate Multisite; konta takie jak Super Admin sieci na świeżej instalacji Multisite lub dowolny administrator lub edytor dodany przed skonfigurowaniem Ultimate Multisite spełniają ten warunek i są podatne.

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez nagłówek Referer. Brak odpowiedniej sanitizacji i escape'owania danych na dynamicznym tagu '{search-query}' umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego JavaScript w kontekście strony dla każdego odwiedzającego, w tym zalogowanego administratora. Atak wymaga, aby strona miała blok reklamowy z tagiem '{search-query}' i automatyczną insercią.

Wtyczka ByteCoreStack – MCP Connector for AI Tools dla WordPressa do wersji 1.2.3 włącznie jest podatna na eskalację uprawnień. Podatność wynika z narzędzia MCP `wp_update_user_meta` w `execute_tool`, które sprawdza tylko `current_user_can('edit_user', $uid)` – co w rdzeniu WordPressa sprowadza się do uprawnienia `read`, gdy docelowy identyfikator użytkownika jest identyczny z identyfikatorem wywołującego – oraz z niekompletnej listy zablokowanych kluczy meta, która obejmuje tylko `user_pass`, `user_activation_key` i `session_tokens`, pozostawiając klucze `wp_capabilities` i `wp_user_level` całkowicie niezabezpieczone. Pozwala to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej na podniesienie swoich uprawnień do Administratora poprzez wywołanie `wp_update_user_meta` na endpointcie MCP JSON-RPC z `key=wp_capabilities` i dowolną tablicą ról, taką jak `{'administrator': true}`, dla własnego identyfikatora użytkownika.