CVE-2025-13943

W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.

Urządzenia FatPipe MPVPN, WARP i IPVPN z firmware 10.1.2r60p100 zawierają podatność wstrzyknięcia poleceń OS w demonie xtremed. Nieuwierzytelniony zdalny atakujący z dostępem do interfejsu zarządzania może przesłać spreparowane dane do endpointu AuthFormServlet, co pozwala na wykonanie dowolnych poleceń jako root.

Podatność w Mitsubishi Electric GX Works3 i Motion Control Setting wynika z nieprawidłowej implementacji algorytmu uwierzytelniania. Lokalny atakujący może pomyślnie się uwierzytelnić mimo nieprawidłowego hasła bloku, modyfikując część modułu wykonywalnego w pamięci.

Wtyczka WordPress wpShopGermany IT-RECHT KANZLEI przed wersją 2.4 nie generuje bezpiecznie swojego tokenu uwierzytelniania API, wyprowadzając go z danych kontrolowanych przez żądającego i tworząc go jako efekt uboczny sprawdzenia, które ma go walidować. Umożliwia to nieuwierzytelnionym atakującym przewidzenie tokenu i wykorzystanie przyznanego dostępu do zapisu dowolnych plików, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress Login with QR do wersji 1.0.0 włącznie nie weryfikuje, czy kod użyty do zalogowania użytkownika został przez nią wydany, dopasowując zamiast tego dowolną przechowywaną wartość metadanych użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka WordPress Pressengine do wersji 1.0 włącznie nie powstrzymuje swojego modułu obsługi logowania przed wydaniem sesji, gdy uwierzytelnianie się nie powiedzie. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka Private Feed Key do WordPressa do wersji 0.1 nie weryfikuje, czy klucz użyty do uwierzytelnienia żądania kanału został przez nią wydany, dopasowując zamiast tego dowolną zapisaną wartość metadanych użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka Multi Uploader for Gravity Forms dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 1.1.9 włącznie, poprzez funkcję move_file. Wynika to z niewystarczającej walidacji typów plików podczas obsługi przesyłania fragmentarycznego. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

djust przed wersją 1.0.7 ma podatność w transporcie WebSocket, która omija standardowe mechanizmy autoryzacji Django (takie jak LoginRequiredMixin, PermissionRequiredMixin itp.) oraz bramkę dla personelu w rozszerzeniu administracyjnym. Autoryzacja mounta odbywa się przez check_view_auth, a nie przez łańcuch View.dispatch(), co pozwala anonimowym lub nieuprzywilejowanym klientom na otwarcie WebSocket i wywołanie handlerów widoków, w tym administracyjnych.

UVdesk Community Skeleton do wersji 1.1.8 nie uwierzytelnia ani nie weryfikuje stanu instalacji na punktach końcowych kreatora w akcjach kontrolera ConfigureHelpdesk. Nieuwierzytelnieni atakujący mogą zmienić konfigurację bazy danych i utworzyć konta super administratora, wysyłając spreparowane żądania do punktów końcowych kreatora, co daje pełną kontrolę nad instancją.