CVE-2026-93698

Podatność przepełnienia bufora na stercie w Apache Thrift C++ THeaderTransport. Gdy aplikacja włącza transformację ZLIB dla wysyłanych ramek, funkcja THeaderTransport::transform() kopiuje skompresowaną ramkę do bufora zapisu bez sprawdzenia, czy się w nim zmieści. Dane, które się nie kompresują, takie jak treść dostarczona przez zdalnego użytkownika, rosną podczas kompresji, więc kopia zapisuje poza koniec bufora sterty, a dla dużych ramek czyta również poza koniec bufora transformacji.

Podatność przepełnienia bufora na stosie w interfejsie zarządzania kontami bram protokołów. Wynika z niewystarczającej walidacji długości parametru `account_name` podczas przetwarzania żądań zarządzania kontami. Atakujący uwierzytelniony jako użytkownik tylko do odczytu w interfejsie zarządzania WWW może dostarczyć specjalnie spreparowaną nazwę konta przekraczającą rozmiar wewnętrznego bufora stosu, co prowadzi do uszkodzenia przepływu wykonywania programu.

Podatność obejścia autoryzacji we wtyczce WPMobile.App – Android and iOS App Builder dla WordPressa we wszystkich wersjach do 11.82 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest upoważniony do wykonania akcji. Umożliwia to nieuwierzytelnionym atakującym eksfiltrację URL-i resetowania hasła dla dowolnych użytkowników, w tym administratorów, które są lustrowane do kolejki push przez funkcję mail-to-push, i wykorzystanie tych URL-i do przejęcia kont.

Podatność obejścia uwierzytelniania we wtyczce JSON API Auth dla WordPressa we wszystkich wersjach do 3.1.2 włącznie. Wtyczka nadrzędna PI-Media/json-api buforuje wyniki dyspozytora kontrolera w transientach kluczowanych wyłącznie URI i stringiem zapytania, ignorując metodę HTTP i treść POST. Powoduje to, że endpoint `generate_auth_cookie()` serwuje zbuforowaną odpowiedź uwierzytelnioną każdemu kolejnemu nieuwierzytelnionemu żądaniu GET do tego samego URI.

Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Mass Modify Accounts.

Podatność XSS (przechowywany) umożliwiająca wykonywanie dowolnego kodu w interfejsie WHM Manage SSL Hosts.

Niewłaściwa walidacja danych wejściowych w DHAgreement.CalculateAgreement (MTI/A0 dwuprzebiegowy Diffie-Hellman) w Legion of the Bouncy Castle Inc. bc-csharp przed 2.7.0. Pozwala atakującemu w ścieżce sieciowej sprawić, że lokalna strona obliczy uzgodnioną wartość, którą atakujący już zna, co niweczy uwierzytelnianie klucza, które MTI/A0 ma zapewniać. Umożliwia również złośliwemu peerowi poznanie lokalnego statycznego klucza prywatnego modulo małe czynniki p-1 i odzyskanie go w grupach z wieloma takimi czynnikami.

Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.

Wtyczka Divi Membership dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania. Funkcja process_paypal_callback akceptuje zakodowany base64 parametr paypal_param bez walidacji IPN, podpisu kryptograficznego, weryfikacji własności ani nonce, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka DevKit Pro dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania prowadzącą do przejęcia konta administratora. Obsługa revert_switch ufa kontrolowanemu przez atakującego ciasteczku original_user_id, a weryfikacja nonce i uprawnień jest przeprowadzana na podstawie tego ciasteczka, a nie rzeczywistego żądającego.