CVE Vulnerability Catalog

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka Hippoo Mobile App dla WooCommerce w WordPressie jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 1.7.1, poprzez funkcję template_redirect(). Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Elated Membership dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.2. Problem wynika z niewłaściwego logowania użytkownika z danymi wcześniej zweryfikowanymi przez funkcje 'eltdf_membership_check_facebook_user' oraz 'eltdf_membership_login_user_from_social_network'.

Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. Wersje od 4.0.0 do 4.3.0 zawierają błąd w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, co pozwala na nieograniczone ponowne użycie tego samego kodu odzyskiwania.

PipesHub to platforma AI do automatyzacji pracy, która w wersjach przed 0.1.0-beta ma lukę w zabezpieczeniach. Brak autoryzacji na końcówce POST /api/v1/record/buffer/convert pozwala atakującemu na przesyłanie plików i nadpisywanie ich w dowolnej lokalizacji, co może prowadzić do złośliwego działania.

A vulnerability in ColdFusion allows an attacker to gain limited unauthorized write access due to insufficiently protected credentials. The flaw stems from improper storage or transmission of authentication data. Exploitation does not require user interaction.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Access Control vulnerability. A low privileged attacker could bypass security measures and gain limited unauthorized write access, potentially resulting in denial of service. Exploitation requires user interaction.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Restriction of XML External Entity Reference ('XXE') vulnerability that could lead to arbitrary file system read. A high privileged attacker could exploit this vulnerability to access sensitive files and data on the server. Exploitation of this issue requires user interaction and scope is changed.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Input Validation vulnerability that could lead to arbitrary file system write. An attacker could exploit this vulnerability to write malicious files to arbitrary locations on the file system. Exploitation of this issue does not require user interaction and scope is changed.

An XXE vulnerability in ColdFusion allows unauthorized file system reads on the server. Affected versions include 2025.4, 2023.16, 2021.22 and earlier. An attacker can exploit this to access sensitive files, though exploitation depends on conditions beyond the attacker's control.

Wersje ColdFusion 2025.4, 2023.16, 2021.22 i wcześniejsze są podatne na lukę XXE (nieprawidłowe ograniczenie odniesienia do zewnętrznych jednostek XML), co może prowadzić do nieautoryzowanego odczytu plików z systemu plików. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych plików na serwerze.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an improper input validation vulnerability that could allow a high-privileged attacker to gain arbitrary code execution. Exploitation does not require user interaction.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Access Control vulnerability that could result in arbitrary code execution in the context of the current user. A high privileged attacker could leverage this vulnerability to bypass security measures and execute malicious code. Exploitation of this issue does not require user interaction and scope is changed.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by a deserialization of untrusted data vulnerability that could result in arbitrary code execution in the context of the current user. Exploitation requires user interaction and the scope is changed.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Improper Input Validation vulnerability that could result in a Security feature bypass. An attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and write access. Exploitation of this issue does not require user interaction and scope is unchanged.

ColdFusion versions 2025.4, 2023.16, 2021.22 and earlier are affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could lead to arbitrary code execution by a high privileged attacker. Exploitation of this issue does not require user interaction and scope is changed.

ZITADEL is an open-source identity infrastructure tool. Versions 4.7.0 and below are vulnerable to an unauthenticated, full-read SSRF vulnerability. The ZITADEL Login UI (V2) treats the x-zitadel-forward-host header as a trusted fallback for all deployments, including self-hosted instances. This allows an unauthenticated attacker to force the server to make HTTP requests to arbitrary domains, such as internal addresses, and read the responses, enabling data exfiltration and bypassing network-segmentation controls. This issue is fixed in version 4.7.1.

Moduł Endpoint Manager w systemach FreePBX jest podatny na obejście uwierzytelnienia, gdy typ uwierzytelnienia jest ustawiony na 'webserver'. Umożliwia to powiązanie sesji z docelowym użytkownikiem przy użyciu nagłówka Authorization z dowolną wartością, niezależnie od poprawnych poświadczeń.

MailEnable versions prior to 10.54 contain a reflected XSS vulnerability in the WindowContext parameter of /Mondo/lang/sys/Forms/MAI/compose.aspx. The WindowContext value is not properly sanitized and is reflected within a script context, allowing an attacker to inject arbitrary JavaScript.