CVE Vulnerability Catalog

EIP Plus opracowany przez Hundred Plus ma podatność na arbitralne przesyłanie plików, co pozwala zdalnym atakującym z uprawnieniami na przesyłanie i uruchamianie backdoorów w postaci powłok webowych, umożliwiając tym samym wykonanie dowolnego kodu na serwerze.

Wykryto lukę bezpieczeństwa w rymcu forest, która dotyczy funkcji getAll/addDic/getAllDic/deleteDic w pliku UserDicController.java. Manipulacja tą funkcją prowadzi do braku autoryzacji, co może umożliwić zdalny atak.

Wtyczka Alex Reservations: Smart Restaurant Booking dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w punkcie końcowym REST /wp-json/srr/v1/app/upload/file we wszystkich wersjach do i włącznie z 2.2.3. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Mail Mint dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji process_contact_attribute_import we wszystkich wersjach do i włącznie z 1.18.10. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyżej przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Academy LMS dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 3.3.8 włącznie, poprzez deserializację niezaufanych danych w funkcji 'import_all_courses'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora wstrzyknięcie obiektu PHP.

Wtyczka Better Find and Replace – AI-Powered Suggestions dla WordPressa jest podatna na ograniczoną iniekcję kodu we wszystkich wersjach do i włącznie z 1.7.7. Problem wynika z niewystarczającej walidacji danych wejściowych oraz ograniczeń w funkcji 'rtafar_ajax'.

Wtyczka Smart Auto Upload Images dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcjonalności automatycznego tworzenia obrazów we wszystkich wersjach do i włącznie z 1.2.0. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie Contributor i wyżej, przesyłanie dowolnych plików na serwer dotkniętej witryny.

Wtyczka Asgaros Forum dla WordPressa jest podatna na atak typu SQL Injection poprzez ciasteczko '$_COOKIE['asgarosforum_unread_exclude']' we wszystkich wersjach do 3.1.0 włącznie, z powodu niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to nieautoryzowanym atakującym dodawanie dodatkowych zapytań SQL do już istniejących zapytań, co może prowadzić do wyciągania wrażliwych informacji z bazy danych.

Parse Server, otwarte oprogramowanie backendowe, ma podatność typu Server-Side Request Forgery (SSRF) w funkcji przesyłania plików w wersjach od 4.2.0 do 7.5.3 oraz od 8.0.0 do 8.3.1-alpha.1. Podatność pozwala na wykonanie dowolnego URI podczas przesyłania pliku Parse.File z parametrem uri.

Apollo Router Core to konfigurowalny router grafowy napisany w Rust, który obsługuje federowany supergraf przy użyciu Apollo Federation 2. Wersje 1.61.12-rc.0 i niższe oraz 2.8.1-rc.0 umożliwiają nieautoryzowany dostęp do chronionych danych poprzez elementy schematu z dyrektywami kontroli dostępu, które zostały przemianowane za pomocą importów @link.

W projekcie tRPC zidentyfikowano podatność typu Broken Object Level Authorization (BOLA) w API mutacji aplikacji webowej Onlook w wersji 0.2.32. Podatność ta wynika z braku weryfikacji własności lub członkostwa aktualnie uwierzytelnionego użytkownika dla żądanego identyfikatora projektu.

Podatność CVE-2025-10968 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu SQL Injection w oprogramowaniu PaperWork firmy GG Soft Software Services Inc. Problem ten występuje w wersjach od 6.1.0.9390 do przed 6.1.0.9398.

Narzędzie Constructor w wersjach 3.12.2 i poniżej dziedziczy uprawnienia katalogu instalacyjnego z katalogu nadrzędnego. W przypadku katalogów, do których mają dostęp lokalni użytkownicy, uprawnienia są zbyt szerokie, co pozwala na modyfikacje podczas instalacji przez zalogowanych użytkowników.

Dosage to narzędzie do pobierania i archiwizowania komiksów, które w wersjach 3.1 i poniżej ma problem z konstrukcją nazw plików. Mimo że nazwa pliku jest odpowiednio oczyszczana z znaków umożliwiających przechodzenie do katalogów, rozszerzenie pliku jest pobierane z nagłówka HTTP Content-Type, co może prowadzić do zapisu dowolnych plików poza docelowym katalogiem.

Wtyczka LC Wizard dla WordPressa jest podatna na eskalację uprawnień z powodu braku sprawdzenia uprawnień w pliku ghl-wizard/inc/wp_user.php w wersjach od 1.2.10 do 1.3.0. Umożliwia to nieautoryzowanym atakującym tworzenie nowych kont użytkowników z rolą administratora, gdy funkcjonalność PRO jest włączona.

W portalu dewelopera 3scale znaleziono lukę, która pozwala na modyfikację pól skonfigurowanych jako tylko do odczytu lub ukryte podczas tworzenia lub aktualizacji konta. To umożliwia atakującemu zmianę ograniczonych informacji.

Apollo Router Core to konfigurowalny router grafowy napisany w Rust, który obsługuje federowany supergraf przy użyciu Apollo Federation 2. W wersjach poniżej 1.61.11 oraz od 2.0.0-alpha.0 do 2.8.1-rc.0 wystąpiła podatność, która pozwalała na nieautoryzowane zapytania do danych wymagających dodatkowych kontroli dostępu.

W pakiecie Rubygem MQTT znaleziono lukę, która polega na braku walidacji nazw hostów. Domyślnie pakiet ten nie weryfikuje nazw hostów, co może prowadzić do ataków typu Man-in-the-Middle (MITM).

Podatność w serwerze evernote-mcp-server umożliwia lokalnym atakującym eskalację uprawnień. Problem występuje w funkcji openBrowser, gdzie brak odpowiedniej walidacji ciągu dostarczonego przez użytkownika pozwala na wykonanie nieautoryzowanego kodu.