CVE-2026-16600

AJ-Report do wersji 1.7.1 podpisuje tokeny udostępniania przy użyciu zaszytego na stałe sekretu JWT, co pozwala atakującym na offline sfałszowanie ważnych Share-Tokenów. Atakujący może wygenerować token z reportCode 'dataSet', aby uzyskać dostęp do endpointu testTransform, który przekazuje skrypty do GroovyClassLoader i umożliwia nieuwierzytelnione zdalne wykonanie kodu.

Jpom w wersjach od 2.10.0 do 2.11.12 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym uzyskać uprawnienia superadministratora poprzez wstrzyknięcie warunku zapytania do nagłówka JPOM-USER-TOKEN. Atakujący może wysłać wartość taką jak 'is not null', którą parser Condition biblioteki Hutool interpretuje jako operator, a następnie wykonać polecenia za pomocą funkcji skryptowych Jpom.

Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.

Wtyczka Acadlix LMS dla WordPressa (wersje do 1.1.9) jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji post_delete_assessment_file_by_id. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowych plików, takich jak wp-config.php. Callback uprawnień weryfikuje jedynie ogólny nonce wp_rest publikowany w obiekcie acadlixOptions na każdej stronie frontendowej, co w praktyce obniża wymóg uwierzytelnienia do nieuwierzytelnionego.

Wtyczka Uncanny Toolkit for LearnDash dla WordPressa (do wersji 3.8.2) zawiera lukę umożliwiającą obejście uwierzytelniania poprzez parametr 'email' w funkcji uo_login_action(). Błąd wynika z różnicy w parsowaniu: weryfikacja konta używa surowego ciągu, a logowanie używa oczyszczonego, co pozwala pominąć kontrolę statusu konta. Umożliwia to nieuwierzytelnionemu atakującemu zalogowanie się na niezweryfikowane lub zawieszone konta, jeśli zna dane logowania.

Wtyczka Project Manager – AI Powered Project Management dla WordPressa (do wersji 4.1.1) jest podatna na zdalne wykonanie kodu poprzez parametr 'id'. Nieoczyszczona wartość parametru jest wstawiana do reguły walidacji, a następnie dzielona i wywoływana jako dynamiczna funkcja PHP bez sprawdzenia dozwolonych wartości. Umożliwia to nieuwierzytelnionemu atakującemu wykonanie kodu na serwerze.

Wtyczka Popup Builder dla WordPressa w wersjach do 4.4.5 włącznie nie weryfikuje uprawnień użytkownika do wykonywania akcji. Nieuwierzytelniony atakujący może jednym żądaniem GET przenieść do kosza wszystkie opublikowane popupy w serwisie, a dodatkowa wada w SGPopup::find() powoduje, że atak dotyczy wszystkich popupów jednocześnie.

Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.

Wtyczka PDF Invoice for WooCommerce + Drag and Drop Template Builder w wersjach do 7.1.1 włącznie jest podatna na wstrzyknięcie obiektu PHP przez parametr 'customer_note'. Pole uwag klienta przy kasie jest niewystarczająco oczyszczane i trafia do unserialize() bez walidacji, co pozwala nieuwierzytelnionemu atakującemu na wykonanie kodu na serwerze.

Biblioteka Assent (pow-auth) w strategii Sign in with Apple ufa parametrowi 'user' przesyłanemu przez przeglądarkę, który klient może dowolnie modyfikować. Parametr ten jest nadpisywany na zweryfikowane oświadczenia tokenu ID, co pozwala nieuwierzytelnionemu atakującemu podszyć się pod innego użytkownika. Problem dotyczy wersji od 0.1.25 do 0.3.2.