CVE-2026-84737

BotSharp do wersji 5.2.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na sfałszowanie tokenów bearer przy użyciu zakodowanego na stałe klucza Jwt:Key w pliku appsettings.json WebStarter. Atakujący mogą podpisywać tokeny przy użyciu zakomentowanego sekretu HMAC oraz stałych wartości issuer i audience, aby podszyć się pod dowolnego znanego użytkownika, w tym administratora, na trasach API chronionych atrybutem Authorize.

Agnaistic agnai do wersji 1.0.555 zawiera podatność związaną z zakodowanymi na stałe poświadczeniami w pliku self-host.docker-compose.yml, który ustawia stałe hasło administratora i publiczny sekret JWT. Nieuwierzytelnieni atakujący mogą zalogować się jako administrator lub podpisać własny token JWT z polem admin: true, aby podszyć się pod użytkowników, resetować hasła i zmieniać konfigurację serwera.

Podatność znaleziona w TOZED X300 do wersji 6.01.3 dotyczy funkcji process_ping komponentu IPPingDiagnostics Handler. Manipulacja argumentem Host prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Sprzedawca został wcześniej poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.

Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne opcje WordPressa, co może spowodować wyłączenie witryny i pozbawienie wszystkich użytkowników ich ról.

Wtyczka Quick quotes dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX i pozwala wywołującemu wybrać, która opcja jest zapisywana, co umożliwia nieuwierzytelnionym użytkownikom zmianę dowolnych ustawień witryny i uczynienie jej niedostępną.

Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom tworzyć i nadpisywać dowolne opcje WordPressa danymi z żądania, co może spowodować wyłączenie witryny i dezaktywację wszystkich wtyczek Insurify.

Wtyczka AI Content Generator Marketing dla WordPressa do wersji 1.0.0 nie egzekwuje kontroli nonce ani uprawnień na niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom aktualizować i usuwać dowolne opcje WordPressa, co może być wykorzystane do uzyskania dostępu administratora do witryny.

Wtyczka Mindstien Quick Login dla WordPressa do wersji 1.0 nie poprawnie weryfikuje wartości dostarczonej w żądaniu względem sesji odwiedzającego przed uwierzytelnieniem, co pozwala nieuwierzytelnionym atakującym uzyskać sesję jako konto administratora, z którym skonfigurowana jest wtyczka.

Dodatek click5 CRM do Contact Form 7 (do wersji 1.0.4) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.

Dodatek click5 CRM do Gravity Forms (do wersji 1.0.3) nie posiada kontroli autoryzacji i CSRF podczas aktualizacji opcji przez punkt końcowy REST oraz nie zapewnia, że aktualizowana opcja należy do tego dodatku. W rezultacie nieuwierzytelnieni atakujący mogą zmieniać dowolne opcje bloga, co pozwala im na utworzenie nowego konta administratora i przejęcie strony.