Katalog podatności CVE

W serwisie pdfonline.foxit.com występuje podatność typu przechowywany Cross-Site Scripting (XSS) w funkcji Page Templates. Złośliwy ładunek może zostać zapisany jako nazwa szablonu i renderowany w DOM bez odpowiedniej sanityzacji, co powoduje wykonanie skryptu przy każdym wczytaniu zainfekowanego PDF-a.

Wersje pakietu fastapi-sso przed 0.19.0 są podatne na Cross-site Request Forgery (CSRF) z powodu nieprawidłowej walidacji parametru OAuth state podczas wywołania zwrotnego uwierzytelniania. Metoda get_login_url pozwala na generowanie state, ale nie przechowuje go ani nie wiąże z sesją użytkownika. W rezultacie metoda verify_and_process akceptuje state otrzymany w parametrach zapytania bez weryfikacji z zaufaną lokalną wartością. Pozwala to zdalnemu atakującemu nakłonić ofiarę do odwiedzenia złośliwego adresu URL wywołania zwrotnego, co może skutkować powiązaniem konta atakującego z wewnętrznym kontem ofiary.

Wykryto błąd bezpieczeństwa w JeecgBoot do wersji 3.9.0. Dotyczy on nieznanej funkcji w pliku jeecg-boot/jeecg-module-system/jeecg-system-biz/src/main/java/org/jeecg/modules/system/controller/SysTenantController.java komponentu Multi-Tenant Management Module. Manipulacja argumentem ID prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Zalecane jest zastosowanie poprawki o nazwie e1c8f00bf2a2e0edddbaa8119afe1dc92d9dc1d2/67795493bdc579e489d3ab12e52a1793c4f8a0ee.

Elasticsearch ma podatność na nieograniczoną alokację zasobów (CWE-770), która pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na spowodowanie nadmiernej alokacji (CAPEC-130), prowadzącej do trwałej odmowy usługi (awaria OOM) poprzez przesłanie zbyt dużych danych ustawień użytkownika.

Podatność na obejście uwierzytelniania w Google Cloud Dialogflow CX Messenger pozwalała nieuwierzytelnionym użytkownikom na interakcję z ograniczonymi agentami czatu, uzyskując dostęp do wiedzy agentów i możliwość wyzwalania ich intencji, poprzez manipulowanie parametrami inicjalizacji lub tworzenie specjalnych żądań API. Wszystkie wersje po 20 sierpnia 2025 zostały zaktualizowane, aby chronić przed tą podatnością. Nie jest wymagane żadne działanie użytkownika.

Ignition firmy Inductive Automation, przy domyślnych ustawieniach konta usługi systemowej, może umożliwić podniesienie uprawnień i wykonanie kodu na hoście poprzez funkcję przywracania kopii zapasowej bramy. Uwierzytelniony użytkownik z uprawnieniami administratora bramy może zaimportować złośliwy plik kopii zapasowej (.gwbk) zawierający spreparowane zasoby projektu, skrypty lub moduły, co prowadzi do wykonania kodu na systemie hosta.

Podatność Authorization Bypass Through User-Controlled Key w RadiusTheme Radius Blocks do wersji 2.2.1 włącznie, umożliwiająca wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Zohocorp ManageEngine Applications Manager w wersjach 177400 i poniżej jest podatny na podatność Stored Cross-Site Scripting w widoku NOC. Podatność może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce ofiary.

W SoliClub od Utarit Informatics Services Inc. występuje luka związana z brakiem autoryzacji, która umożliwia nadużycie uprawnień. Problem dotyczy wersji przed 5.3.7.

Znaki Unicode RTLO mogą pozwolić złośliwym stronom na podszywanie się pod nazwy plików w interfejsie pobierania w Firefoksie dla iOS, potencjalnie oszukując użytkowników, aby zapisali pliki nieoczekiwanego typu. Podatność została naprawiona w Firefoksie dla iOS 144.0.

W funkcji Time Machine Snapshot Diff wykryto podatność typu przechowywane wstrzyknięcie HTML wynikającą z nieprawidłowej walidacji danych ruchu sieciowego. Nieuwierzytelniony atakujący może wysłać specjalnie spreparowane pakiety sieciowe w dwóch różnych momentach, aby wstrzyknąć znaczniki HTML do atrybutów zasobów w dwóch snapshotach; wykorzystanie wymaga od ofiary użycia funkcji Snapshot Diff i wykonania określonych akcji w GUI, co umożliwia ataki phishingowe i otwarte przekierowania. Pełne wykorzystanie XSS jest uniemożliwione przez walidację danych wejściowych i Content Security Policy, a złożoność ataku jest wysoka ze względu na wiele wymaganych warunków.

Wtyczka InstaWP Connect zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.1.1.9 włącznie.

Motyw XStore od 8theme jest podatny na brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji przed 9.6.

Wtyczka WebinarIgnition (od n/a do wersji 4.06.04) ma podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wtyczki WebinarIgnition.

Brak autoryzacji w miniOrange's Google Authenticator (miniorange-2-factor-authentication) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.1.1 włącznie.

W SDK Auth0-PHP walidacja odbiorcy (audience) tokenów dostępu jest przeprowadzana nieprawidłowo. W wyniku tego aplikacje mogą akceptować tokeny ID jako tokeny dostępu. Problem dotyczy wersji Auth0-PHP od v8.0.0 do v8.17.0 oraz zależnych SDK (Symfony, Laravel, WordPress) korzystających z tych wersji.

W systemie ChurchCRM przed wersją 6.5.3 występuje podatność na eskalację uprawnień. Uwierzytelniony użytkownik z uprawnieniami "Edit Records" i "Manage Properties and Classifications" może wstrzyknąć trwały ładunek XSS do profilu administratora, który wykonuje się, gdy administrator wyświetla własny profil. Podatność łączy IDOR (możliwość przeglądania profili innych użytkowników) oraz błędną kontrolę dostępu (możliwość modyfikacji rekordów innych użytkowników).

HCL BigFix Remote Control Lite Web Portal (wersje 10.1.0.0326 i niższe) ma niewłaściwe zarządzanie polityką bezpieczeństwa treści (CSP), co może umożliwić wykonanie złośliwego kodu na stronach internetowych.

Problem z uprawnieniami w systemach Apple został rozwiązany poprzez dodanie dodatkowych ograniczeń. Luka występuje w iOS 26.2 i iPadOS 26.2, macOS Tahoe 26.2, visionOS 26.2 oraz watchOS 26.2. Aplikacja może uzyskać dostęp do wrażliwych tokenów płatniczych.