Qi Blocks <= 1.4.9 - Insecure Direct Object Reference to Authenticated (Author+) Arbitrary Style Modification via 'page_id' Parameter

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Wordfence). Не зависят от анализа CPE в NVD и обычно опережают его.

• qodeinteractive Qi Blocks

  • до 1.4.9 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-49690WordPress Qi Blocks plugin <= 1.3.2 - Local File Inclusion vulnerability
  35Наблюдать
• CVE-2025-1627Qi Blocks < 1.4 - Contributor+ Stored XSS via ToC Block
  21Наблюдать
• CVE-2025-1626Qi Blocks < 1.4 - Contributor+ Stored XSS vi Countdown Block
  21Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2025-162519 мая 2025 г. · Qi Blocks < 1.4 - Contributor+ Stored XSS via Counter Block
  21Наблюдать
• ← РаньшеCVE-2025-121801 нояб. 2025 г. · Qi Blocks <= 1.4.3 - Missing Authorization to Authenticated (Contributor+) Plugin Settings Update
  17Наблюдать
• ← РаньшеCVE-2025-1218215 нояб. 2025 г. · Qi Blocks <= 1.4.3 - Missing Authorization to Arbitrary Attachment Resize
  17Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.