The RecentChanges feature in WikkaWiki (Wikka Wiki) before 1.1.6.3 allows remote attackers to obtain the names, and possibly revision notes

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• wikkawiki wikkawikiдо 1.1.6.2 включительно
• wikkawiki wikkawiki1.0.0
• wikkawiki wikkawiki1.0.1
• wikkawiki wikkawiki1.0.2
• wikkawiki wikkawiki1.0.3
• wikkawiki wikkawiki1.0.4
• wikkawiki wikkawiki1.0.5
• wikkawiki wikkawiki1.0.6
• wikkawiki wikkawiki1.1.0
• wikkawiki wikkawiki1.1.2
• wikkawiki wikkawiki1.1.3
• wikkawiki wikkawiki1.1.3.1
• wikkawiki wikkawiki1.1.3.2
• wikkawiki wikkawiki1.1.3.3
• wikkawiki wikkawiki1.1.3.4
• wikkawiki wikkawiki1.1.3.5
• wikkawiki wikkawiki1.1.3.6
• wikkawiki wikkawiki1.1.3.7
• wikkawiki wikkawiki1.1.3.8
• wikkawiki wikkawiki1.1.3.9

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2007-2613WikkaWiki (Wikka Wiki) before 1.1.6.3 allows attackers in a shared virtual host server environment to upload and execute an arbitrary config
  33Наблюдать
• CVE-2011-4448SQL injection vulnerability in actions/usersettings/usersettings.php in WikkaWiki 1.3.1 and 1.3.2 allows remote attackers to execute arbitra
  31Наблюдать
• CVE-2007-2612SQL injection vulnerability in libs/Wakka.class.php in WikkaWiki (Wikka Wiki) before 1.1.6.3 allows remote attackers to execute arbitrary SQ
  30Наблюдать
• CVE-2006-7049The Method method in WikkaWiki (Wikka Wiki) before 1.1.6.2 calls the strstr and strrpos functions with the wrong argument order, which allow
  30Наблюдать
• CVE-2011-4452Cross-site request forgery (CSRF) vulnerability in the AdminUsers component in WikkaWiki 1.3.1 and 1.3.2 allows remote attackers to hijack t
  28Наблюдать
• CVE-2011-4449actions/files/files.php in WikkaWiki 1.3.1 and 1.3.2, when INTRANET_MODE is enabled, supports file uploads for file extensions that are typi
  28Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.