Katalog podatności CVE

Funkcja JwksTrustStore.Get przypisywała każdy sparsowany klucz do nazwanego zwracanego parametru funkcji podczas odświeżania pamięci podręcznej JWKS. Gdy żądany kid nie istniał, końcowe nagie return zwracało wywołującemu ostatni klucz z dokumentu JWKS wraz z błędem nil — błędną odpowiedź zamiast informacji o braku klucza.

Funkcja AesGcmCryptor.Open przekazywała nonce dostarczony przez wywołującego bezpośrednio do cipher.AEAD.Open bez sprawdzenia jego długości. Biblioteka standardowa Go zgłasza panic zamiast zwracać błąd, gdy nonce GCM nie ma dokładnie NonceSize() bajtów, więc JWE z IV o złym rozmiarze powoduje awarię gorutyny deszyfrującej.

Podczas używania jako executor w KNIME Server lub KNIME Business Hub, KNIME Analytics Platform w wersjach LTS przed 5.8.4 loguje skonfigurowane dane uwierzytelniające proxy podczas uruchamiania. Atakujący z dostępem do plików logów może ukraść te dane i użyć proxy jako użytkownik, który skonfigurował ustawienia proxy.

Wtyczka Car Rental Manager firmy Magepeople zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.5.3.

Wtyczka Knit Pay zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 9.6.3.0.

Aplikacja CGM CLININET jest podatna na odbity atak Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych dostarczanych przez użytkownika. Zdalny, nieuwierzytelniony atakujący może przygotować złośliwy URL zawierający kod JavaScript lub HTML, który zostanie wykonany w przeglądarce ofiary po odwiedzeniu tego adresu. Pozwala to na kradzież ciasteczek sesyjnych i wykonywanie działań w imieniu ofiary w aplikacji.

Aplikacja CGM CLININET uruchamia proces cgm-updater nasłuchujący na otwartym porcie sieciowym bez jakiegokolwiek uwierzytelniania. Podatność potwierdzono w wersjach do 2026.MS3; wersja 2026.MS3 z komponentem updater-upkg w wersji 5.3.0 lub nowszej nie jest podatna.

Aplikacja CGM CLININET przechowuje login i hasło do bazy danych produkcyjnej oraz dane uwierzytelniające brokera RabbitMQ w pliku konfiguracyjnym SysIO.pl. Niebezpieczne uprawnienia pliku umożliwiają jego odczyt przez dowolne konto lokalne. Problem naprawiono w wersji 2026.MS3.

Interfejs webowy ASMobile w pakiecie VertiGIS GIS Portal pozwala uwierzytelnionym użytkownikom zdefiniować referencję biznesową, w którą można wstawić kod JavaScript. Sam w sobie jest to self-XSS, ale referencja jest dołączana do szczegółów zamówienia i później wyświetlana w portalu OrderAdministration (AuftragsManager) systemu VertiGIS WebOrderSystem, gdzie kod wykonuje się, gdy uprzywilejowany użytkownik otworzy zamówienie.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom wyszukiwać pracowników we wszystkich firmach (grupach użytkowników). Wyszukiwany termin można przekazać w parametrze URL searchValue, więc wyszukiwanie odbywa się, gdy zalogowany użytkownik otworzy taki URL, a kod JavaScript w tym parametrze jest wykonywany w przeglądarce ofiary.

Portal CustomerAdministration (KundenManager) systemu VertiGIS WebOrderSystem pozwala uprzywilejowanym użytkownikom zarządzać pracownikami zdefiniowanych firm (grup użytkowników). Właściwości użytkownika, np. parametr "secondName", można wypełnić kodem JavaScript podczas edycji użytkownika; kod jest zapisywany i wykonywany w przeglądarce innego uprzywilejowanego użytkownika, który otworzy edytowany wpis lub przegląd grupy. Uwierzytelniony atakujący z dostępem do portalu może w ten sposób uruchomić skrypt w sesji innych użytkowników portalu. Podatna jest wersja 7.0.8.6, najnowsza dostępna w momencie testów; dostawca nie podał informacji o innych podatnych wersjach.

Podatność uwierzytelniania w implementacji Bluetooth Low Energy (BLE) w Creative Sound Blaster Katana pozwala atakującemu znajdującemu się w zasięgu Bluetooth połączyć się z urządzeniem bez wcześniejszego parowania lub uwierzytelnienia. Umożliwia to nieautoryzowany dostęp do urządzenia.

Wtyczka WordPress Advanced Custom Fields: Extended (oraz PRO) przed 0.9.2.8 nie waliduje ani nie escapuje niektórych atrybutów shortcode formularzy, które mogą przyjmować wartości z żądania odwiedzającego i są wypisywane bez escapowania. Pozwala to użytkownikom o roli już contributor wykonać dowolny skrypt w przeglądarce każdego, kto otworzy spreparowany link lub stronę, w tym zalogowanego administratora. Jest to niekompletna poprawka CVE-2023-5292.

Wtyczka WordPress Depicter — Popup & Slider Builder przed 4.8.2 nieprawidłowo waliduje przesyłane pliki w punkcie końcowym edytora do przesyłania mediów, sprawdzając tylko MIME typ dostarczony przez klienta i wielkościowrażliwy blok rozszerzenia .php. Pozwala to użytkownikom z rolą Editor i wyższą przesłać pliki z innymi aktywnymi rozszerzeniami do publicznego katalogu uploads, co prowadzi do przechowywanego wykonania skryptu w domenie witryny, a w zależności od mapowania handlerów serwera — do wykonania kodu.

Wtyczka WordPress Download Monitor przed wersją 5.3.5 nieprawidłowo ogranicza zarządzanie listą lokalizacji systemu plików, z których może serwować pliki, do administratorów sieci w trybie multisite. Administrator podstrony może zatwierdzić dowolne lokalizacje, co pozwala wtyczce serwować nieuwierzytelnionym odwiedzającym czytelne pliki spoza katalogu uploads, w tym pliki należące do innych podstron. Instalacje single-site nie są dotknięte.

Wtyczka WordPress User Profile Builder przed wersją 4.0.5 nie sanityzuje ani nie escapuje jednego z atrybutów shortcode przed wyświetleniem go w komunikacie przekierowania. Pozwala to użytkownikom z rolą już od contributor wykonywać ataki Stored Cross-Site Scripting wymierzone w użytkowników o wyższych uprawnieniach, którzy wyślą dotknięty formularz.

Wtyczka WordPress Speed Optimizer przed wersją 7.8.5 nie weryfikuje uprawnień na poziomie sieci przed zastosowaniem zmiany opcji do całej sieci multisite ani nie ogranicza, które opcje mogą być zmieniane. Pozwala to administratorowi witryny, który nie jest Super Adminem, tworzyć lub nadpisywać opcje obejmujące całą sieć.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.

Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.

Wtyczka WordPress Otter Blocks w wersji przed 3.2.8 nieprawidłowo oczyszcza i escapuje wartości stylów bloków dostarczane przez użytkownika przed zapisaniem ich do wbudowanego arkusza stylów. Umożliwia to użytkownikom z uprawnieniami contributor i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający, w tym administratorzy, wyświetli dotknięty wpis.