Katalog podatności CVE

Podatność w curl podczas przesyłania plików polega na nieprawidłowym obsłużeniu ramki HTTP/2 RST_STREAM otrzymanej od serwera, co prowadzi do użycia po zwolnieniu (use-after-free) obiektu struct Curl_easy.

Wtyczka LifterLMS dla WordPress jest podatna na lokalne włączenie plików (Local File Inclusion) w wersjach do 10.3.1 włącznie, poprzez atrybuty shortcode [lifterlms_checkout] kontrolowane przez atakującego. Funkcja llms_get_template() wykonuje extract() na tablicy atrybutów shortcode przed rozwiązaniem ścieżki szablonu, co pozwala nadpisać lokalne parametry i kontrolować ścieżkę przekazywaną do include w PHP.

Brak autoryzacji w wtyczce WordPress 10up Restricted Site Access (restricted-site-access) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy Restricted Site Access od wersji n/a do 7.6.2.

Wtyczka CP Multi View Event Calendar (cp-multi-view-calendar) dla WordPress jest podatna na wstrzyknięcie SQL (SQL Injection) z powodu niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Podatność dotyczy wersji od n/a do 1.4.41.

Wtyczka Gallery Custom Links dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'display_name (profile.php) + comment (wp-comments-post.php)' we wszystkich wersjach do 2.3.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Eksploit wymaga dwóch skoordynowanych wejść od tego samego uwierzytelnionego atakującego: payload HTML w treści komentarza (zachowany przez WordPress comment kses) oraz pasujący klucz szumu simple_html_dom umieszczony w display_name atakującego (przetrwa esc_attr() nietknięty), z podstawieniem po obu filtrach podczas domyślnego przebiegu buforowania wyjścia plugin.

Wtyczka Meow Lightbox dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'display_name + comment' we wszystkich wersjach do 5.6.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Ta podatność jest wykorzystywana tylko, gdy opcja Output Buffering jest włączona (domyślnie wyłączona) i wymaga, aby atakujący miał co najmniej jeden wcześniej zatwierdzony komentarz na stronie, aby kolejne komentarze były automatycznie zatwierdzane przez WordPress.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'post_images (file_info[2] = title)' we wszystkich wersjach do 2.8.190 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Mang Board dla WordPress jest podatna na trwały XSS (Stored Cross-Site Scripting) poprzez parametr 'user_name' we wszystkich wersjach do 2.4.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Sanitizer mbw_htmlspecialchars2() jest nieskuteczny, ponieważ ładunek wykorzystuje składnię atrybutów HTML bez cudzysłowów, używając tylko spacji, znaków alfanumerycznych oraz znaków takich jak =, nawiasy i kropki.

Wtyczka GeoDirectory – WP Business Directory Plugin and Classified Listings Directory dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'post_title' we wszystkich wersjach do 2.8.190 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Record of Consent Extension for Complianz dla WordPress jest podatna na trwały XSS (Stored Cross-Site Scripting) poprzez parametr 'uid' we wszystkich wersjach do 2.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nonce jest emitowany przez wp_localize_script na wp_enqueue_scripts i jest czytelny dla każdego nieuwierzytelnionego odwiedzającego, a ścieżka zapisu nie jest chroniona żadnym sprawdzeniem uprawnień.

Podatność Hardcoded Cryptographic Key w Trellix Agent 5.8.4 przez mfecryptc.dll prowadzi do odszyfrowania bazy danych przez zwykłych użytkowników.

Koha jest podatna na wstrzyknięcie SQL w raporcie najczęściej wypożyczanych pozycji. Skrypt reports/cat_issues_top.pl wkleja kontrolowane przez użytkownika parametry Criteria, Filter i Limit bezpośrednio do dynamicznego SQL, a Criteria nie jest weryfikowane względem listy dozwolonych wartości. Uwierzytelniony pracownik z uprawnieniem do modułu raportów może wstrzyknąć dowolny SQL i odczytać dowolne tabele dostępne dla użytkownika bazy Koha, w tym dane wypożyczających, klucze API i sesje.

Koha jest podatna na wstrzyknięcie poleceń systemu operacyjnego w ścieżce usuwania zadań w Task Scheduler. Parametr jobid przekazywany do C4::Scheduler::remove_at_job nie jest walidowany, a Schedule::At::remove podstawia go do polecenia atrm bez cytowania i wykonuje przez system() z jednym argumentem, co uruchamia powłokę. Uwierzytelniony pracownik z uprawnieniem tools => schedule_tasks może wykonać dowolne polecenia systemowe jako użytkownik aplikacji Koha.

Wtyczka Mang Board dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 2.4.3 włącznie, poprzez parametr '<mode>_type'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja jest trywialna przez nieuwierzytelniony POST do strony renderującej publiczny shortcode [mb_board], a na standardowych instalacjach PHP można wykorzystać pearcmd.php do zapisu i włączenia złośliwego pliku w jednym żądaniu.

Wtyczka Post Export Import with Media dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 1.17.1 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wstrzyknięcie obiektu PHP. W samej wtyczce nie ma znanego łańcucha POP, więc podatność ma wpływ tylko wtedy, gdy inna wtyczka lub motyw zawiera taki łańcuch.

Wtyczka Mang Board dla WordPressa jest podatna na trwały atak XSS poprzez parametr 'content' we wszystkich wersjach do 2.4.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications dla WordPressa w wersjach do 3.10.0 włącznie jest podatna na eskalację uprawnień. Akcja AJAX `wp_ajax_nopriv_simpleform_wp_register` nie sprawdza uprawnień do przypisywania ról, a funkcja `save_custom_fields_to_user_meta()` używa listy wykluczeń pomijającej `wp_capabilities`, co w połączeniu z domyślnymi ustawieniami `get_form_settings()` umożliwia nieuwierzytelnionemu atakującemu utworzenie konta administratora WordPressa. Wymagany nonce jest publicznie ujawniany w obiekcie JavaScript `front_end_data` na każdej stronie front-endu, więc każdy niezalogowany odwiedzający może go łatwo pozyskać.

Wtyczka JNews - Jeg Elementor Kit dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcjach AJAX 'jkit_post_block' i 'jeg_find_author' w wersjach do 3.2.19 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber i wyższym mogą wyliczyć wszystkich zarejestrowanych użytkowników oraz odtworzyć adresy e-mail, wykorzystując wyszukiwanie podciągów jako wyrocznię.

Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.7.3 włącznie, poprzez parametr 'params[customer][first_name]'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić poufne dane rezerwacji, w tym pole admin_notes, wewnętrzne dane kontaktowe agenta, tokeny transakcji i adresy URL żądań płatności.

Wtyczka ShopMagic – email automation dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 4.9.0 włącznie, poprzez parametr 'billing_address.first_name'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja wymaga opublikowanego przepisu przetwarzającego placeholder {{ customer.first_name }} — wbudowany przepis "New Order email with social media profile links" spełnia ten warunek domyślnie, więc domyślna konfiguracja jest podatna bez konta, ciasteczka czy nonce.