Katalog podatności CVE

Advantech WebAccess/VPN w wersjach przed 1.1.5 zawiera podatność na wstrzykiwanie SQL w AppManagementController.appUpgradeAction(), która pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach (obserwator) na wstrzyknięcie SQL przez parametry wyszukiwania datatable, prowadząc do ujawnienia informacji z bazy danych.

Advantech WebAccess/VPN w wersjach przed 1.1.5 zawiera podatność na path traversal poprzez AjaxStandaloneVpnClientsController.ajaxDownloadRoadWarriorConfigFileAction(), która pozwala uwierzytelnionemu administratorowi sieci na odczyt i zwrócenie zawartości dowolnych plików, do których ma dostęp użytkownik www-data.

Advantech WebAccess/VPN w wersjach przed 1.1.5 zawiera podatność na trwały atak XSS poprzez StandaloneVpnClientsController.addStandaloneVpnClientAction(). Niewystarczająca walidacja lub kodowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Advantech WebAccess/VPN w wersjach przed 1.1.5 zawiera podatność na trwały atak XSS poprzez NetworksController.addNetworkAction(). Niewystarczająca walidacja lub kodowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Podatność typu confusion w SuiteCRM przed wersją 7.12.6 występuje podczas przetwarzania parametru 'module' w funkcji 'deleteAttachment'. Zdalny, nieuwierzytelniony atakujący może zmieniać obiekty bazy danych, w tym adres e-mail administratora.

Problem z weryfikacją własności na stronie podglądu Virtual Desktop w Research and Engineering Studio (RES) na AWS przed wersją 2025.09 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na przeglądanie metadanych aktywnej sesji pulpitu innego użytkownika, w tym okresowych zrzutów ekranu pulpitu.

W Devolutions Server występuje problem z kontrolą dostępu, który pozwala użytkownikowi z rolą View-only na odzyskiwanie wrażliwych pól zagnieżdżonych trzeciego poziomu, takich jak niestandardowe wartości list haseł, co prowadzi do ujawnienia haseł. Dotyczy wersji 2025.3.2.0-2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.

Wtyczka Contest Gallery (od ContestGallery developer) zawiera podatność typu Cross-Site Request Forgery w wersjach od n/a do 28.0.0. Podatność ta umożliwia atakującemu wykorzystanie mechanizmu CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.

Wtyczka Effect Maker autorstwa anibalwainstein zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.2.1 włącznie.

Wtyczka UDesign Core autorstwa AndonDesign zawiera podatność na Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 4.14.1 włącznie.

Wtyczka Cost Calculator Builder (Stylemix) do wersji 3.5.32 włącznie ma podatność na brak autoryzacji (Missing Authorization). Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji, które powinny być chronione.

Wtyczka TheGem Demo Import (dla WPBakery) zawiera brak autoryzacji, co pozwala nieautoryzowanym użytkownikom na dostęp do funkcji importu demo. Podatność dotyczy wersji do 5.10.5 włącznie.

Podatność typu Cross-site Scripting (XSS) w motywie TheGem Theme Elements (dla WPBakery) do wersji 5.10.5.1 włącznie. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony może pozwolić na wykonanie skryptów w przeglądarce użytkownika.

Podatność wstawiania wrażliwych informacji do wysyłanych danych w Sovlix MeetingHub. Umożliwia odzyskanie osadzonych wrażliwych danych. Dotyczy wersji do 1.23.9 włącznie.

Brak autoryzacji w Togo od uxper. Dotyczy wersji przed 1.0.4.

Wtyczka Togo (wersje poniżej 1.0.4) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to prowadzić do nieautoryzowanego dostępu do funkcji lub danych.

Wtyczka tagDiv Cloud Library jest podatna na atak typu DOM-Based Cross-Site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do < 3.9.2.

Wtyczka tagDiv Composer jest podatna na atak typu Cross-Site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 5.4.1.

Podatność braku autoryzacji w motywie Salient od ThemeNectar. Problem dotyczy Salient w wersjach od n/a do 17.4.0.

Brak autoryzacji w motywie KALLYAS do wersji 4.22.0 włącznie. Podatność może pozwolić na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.