CVE Vulnerability Catalog

The WordPress plugin Easy Email Subscription in all versions up to and including 1.3 is vulnerable to Cross-Site Request Forgery (CSRF) due to missing or incorrect nonce validation on the show_editsub_page() function. This allows unauthenticated attackers to delete arbitrary subscribers via a forged request if they can trick an administrator into clicking a link.

The Easy Email Subscription plugin for WordPress (all versions up to and including 1.3) is vulnerable to SQL Injection via the 'uid' parameter due to insufficient escaping and lack of preparation on the existing SQL query. An authenticated attacker with Administrator-level access and above can append additional SQL queries to extract sensitive information from the database.

ClipBucket v5 is an open source video sharing platform. Versions 5.5.2 - #151 and below allow authenticated administrators with plugin management privileges to execute arbitrary SQL commands against the database through its ClipBucket Custom Fields plugin. The vulnerabilities require the Custom Fields plugin to be installed and accessible, and can only be exploited by users with administrative access to the plugin interface. This issue is fixed in version 5.5.2 - #.

Nieprawidłowa autoryzacja w middleware autoryzacji API HCL DevOps Loop pozwala na akceptację tokenów autoryzacyjnych bez odpowiedniej weryfikacji ich ważności i podpisu kryptograficznego. W rezultacie, atakujący może wykorzystać wygasłe lub zmanipulowane tokeny do uzyskania nieautoryzowanego dostępu do wrażliwych zasobów oraz wykonywania działań z podwyższonymi uprawnieniami.

Nieprawidłowe zarządzanie tokenem uwierzytelniającym w kliencie Amazon WorkSpaces dla systemu Linux, wersje 2023.0 do 2024.8, może ujawniać token uwierzytelniający dla WorkSpaces opartych na DCV innym lokalnym użytkownikom na tej samej maszynie klienckiej. W pewnych okolicznościach lokalny użytkownik może być w stanie wyodrębnić token uwierzytelniający innego lokalnego użytkownika z współdzielonej maszyny klienckiej i uzyskać dostęp do ich WorkSpace.

Apple addressed an issue where an attacker with physical access to a locked device may be able to view sensitive user information. The issue was fixed by restricting options offered on a locked device. The fix is available in iOS 18.7.2, iPadOS 18.7.2, iOS 26.1, and iPadOS 26.1.

Tonec Internet Download Manager 6.42.41.1 and earlier fails to validate SSL certificates, allowing attackers to bypass update protections.

An Incorrect Access Control vulnerability in the user management component of ZwiiCMS up to v13.6.07 allows a remote, authenticated attacker to escalate their privileges. By sending a specially crafted HTTP request, a low-privilege user can access and modify the profile data of any other user, including administrators.

Serwer pocztowy MDaemon w wersji 23.5.2 weryfikuje SPF, DKIM i DMARC na podstawie adresu e-mail umieszczonego w nagłówku From: w formacie SMTP DATA. Atakujący może stworzyć nagłówek From: z wieloma niewidocznymi znakami Unicode, co pozwala na fałszowanie nadawcy, mimo że zabezpieczenia przed fałszowaniem są aktywne.

Wtyczka Premium Portfolio Features dla motywu Phlox w WordPressie jest podatna na atak Local File Inclusion we wszystkich wersjach do 2.3.10 włącznie, poprzez parametr 'args[extra_template_path]'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Control-M/Agent jest podatny na zdalne wykonanie kodu bez uwierzytelnienia, nieautoryzowany odczyt i zapis plików oraz podobne działania, gdy mutualne uwierzytelnianie SSL/TLS nie jest włączone (tj. w domyślnej konfiguracji).

Wtyczka KiotViet Sync dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji create_media() we wszystkich wersjach do i włącznie z 1.8.5. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W Red Hat Satellite (komponent Foreman) znaleziono lukę, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edytowania ustawień na wykonanie dowolnych poleceń na systemie operacyjnym. Problem wynika z niewystarczającej walidacji po stronie serwera dotyczącej białej listy poleceń.

Wtyczka Document Embedder – Embed PDFs, Word, Excel, and Other Files dla WordPressa jest podatna na nieautoryzowany dostęp, modyfikację oraz utratę danych we wszystkich wersjach do i włącznie z 2.0.0. Problem wynika z braku odpowiedniej weryfikacji uprawnień użytkownika w funkcjach 'bplde_save_document_library', 'bplde_get_all', 'bplde_get_single' oraz 'bplde_delete_document_library'.

Wtyczka File Manager for Google Drive – Integrate Google Drive with WordPress jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 1.5.3 poprzez funkcję 'get_localize_data'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym poświadczeń Google OAuth oraz adresów e-mail kont Google.

Wtyczka AI Engine dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.3 włącznie, poprzez punkt końcowy REST API /mcp/v1/, który ujawnia wartość 'Bearer Token' przy włączonym 'No-Auth URL'.

Wtyczka The Events Calendar dla WordPressa jest podatna na ślepą injekcję SQL poprzez parametr 's' w wersjach od 6.15.1.1 do 6.15.9. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W edytorze kodu Cursor, w wersjach do 2025.09.17-25b418f, występuje podatność, która umożliwia zdalne wykonanie kodu poprzez mechanizm serwera MCP. Atakujący może przesłać złośliwą konfigurację MCP w pliku .cursor/mcp.json w repozytorium GitHub, co prowadzi do natychmiastowego uruchomienia złośliwego serwera MCP po sklonowaniu projektu przez ofiarę.

Tencent Docs Desktop w wersji 3.9.20 i wcześniejszych ma problem z brakiem walidacji certyfikatu SSL w komponencie aktualizacji. To może prowadzić do potencjalnych ataków typu man-in-the-middle.