Katalog podatności CVE

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa w wersji przed 2.8.26 nie weryfikuje własności ani autoryzacji przed zwróceniem zapisanej konfiguracji kampanii i dziennika uruchomień. Umożliwia to użytkownikom z dostępem na poziomie współpracownika i wyższym odczytanie konfiguracji i dzienników wykonania kampanii utworzonych przez innych użytkowników, w tym administratorów.

Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje treści pobieranej ze źródła dostarczonego przez użytkownika przed jej wyrenderowaniem. Może to pozwolić użytkownikom takim jak Contributor na przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym kampanię.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy użytkownik jest zapisany na kurs, przed zarejestrowaniem ukończenia lekcji. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na tworzenie rekordów postępu kursu dla kursów, do których nie ma dostępu.

Wtyczka MasterStudy LMS dla WordPressa w wersji przed 3.7.50 nie sprawdza, czy rejestracja użytkowników jest włączona na stronie, przed utworzeniem konta przez jeden z jej front-endowych przepływów rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie kont i logowanie się na nich na stronach, na których rejestracja została celowo wyłączona.

Wtyczka MasterStudy LMS dla WordPressa w wersji przed 3.7.50 nie wykonuje żadnych kontroli uprawnień ani nonce na administracyjnej akcji konserwacyjnej. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, wywołanie tej akcji i utworzenie opublikowanej treści na stronie przypisanej do własnego konta.

Wtyczka MasterStudy LMS dla WordPressa w wersjach przed 3.7.50 nie waliduje jednego z ustawień stylu wyświetlania przed użyciem go do budowy ścieżki szablonu. Umożliwia to użytkownikom z rolą Contributor i wyższą dołączenie i wykonanie dowolnych lokalnych plików PHP na serwerze. Podobna ścieżka została poprawiona we wcześniejszym wydaniu, ale ta nie, więc problem nadal występuje w wersjach uznawanych wcześniej za naprawione.

Wtyczka Post Grid dla WordPressa przed wersją 7.9.5 nie ogranicza rozszerzenia listy dozwolonych znaczników HTML do własnego kodu i stosuje je w całej witrynie. Użytkownicy z rolą Współautor i wyższą mogą przechowywać elementy iframe, style i input, które normalnie są usuwane z ich treści, co prowadzi do wstrzyknięcia HTML (ramki phishingowe, defacement CSS i fałszywe formularze) widocznego dla każdego odwiedzającego oraz administratorów przeglądających treść.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie ogranicza dostępu do kluczy odpowiedzi quizów. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. studentowi, pobranie poprawnych odpowiedzi do dowolnego quizu na stronie, w tym quizów w kursach, na które nie jest zapisany. Ukrywanie odpowiedzi stosowane jest tylko do stałej listy typów pytań, więc odpowiedzi do wszystkich pozostałych typów są zwracane w całości każdemu, kto może wyświetlić pytania.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie weryfikuje, czy użytkownik wysyłający żądanie jest właścicielem zwracanych rekordów postępu kursu. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. samodzielnie zarejestrowanemu subskrybentowi, odczytanie aktywności edukacyjnej innego użytkownika. Stosowana kontrola własności jest pomijana, gdy żądane konto nie jest nazwane niezerową wartością, w którym to przypadku zwracane są jednocześnie rekordy wszystkich uczniów na stronie.

Wtyczka 10Web Booster dla WordPressa w wersji przed 2.34.0 nie ogranicza dostępu do procedury wydającej wspólny sekret uwierzytelniający jej połączenie z chmurą. Ujawnia ten sekret nieuwierzytelnionym odwiedzającym i pozwala im wielokrotnie go usuwać, uniemożliwiając administratorowi ukończenie legalnego połączenia.

Wtyczka wpForo Forum dla WordPressa w wersjach przed 3.1.6 nie ogranicza klas, które mogą być instancjonowane podczas deserializacji wartości pola profilu dostarczonej przez użytkownika. Umożliwia to uwierzytelnionym użytkownikom z poziomem Subscriber i wyższym wstrzyknięcie obiektu PHP. Brak łańcucha POP w samej wtyczce, ale jeśli istnieje on w innej zainstalowanej wtyczce, może to prowadzić do zdalnego wykonania kodu, dowolnych operacji na plikach lub SQL injection. To niekompletna poprawka CVE-2026-49769.

Wtyczka CMB2 dla WordPressa w wersji przed 2.13.0 nie wykonuje żadnej kontroli uprawnień na jednej ze swoich akcji AJAX. Umożliwia to użytkownikom o roli tak niskiej jak Subscriber tworzenie dowolnych opcji WordPressa i psucie istniejących, co może zepsuć podstawowe ustawienia strony i doprowadzić do jej niedostępności. Wykorzystanie wymaga, aby strona lub inna wtyczka CMB2 przed 2.13.0 zadeklarowała pole oEmbed, ponieważ sama wtyczka CMB2 przed 2.13.0 nie rejestruje żadnego własnego. Przechowywana wartość nigdy nie jest kontrolowana przez atakującego, więc problem nie prowadzi do eskalacji uprawnień.

Wtyczka WPForms dla WordPressa w wersji przed 2.0.2 nie weryfikuje, czy obiekt płatności Stripe dostarczony podczas publicznego zgłoszenia formularza należy do niej, przed podjęciem na nim działań. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie pełnego zwrotu i natychmiastowego anulowania subskrypcji dla płatności utworzonych przez inne aplikacje na koncie Stripe właściciela strony.

W platformie PaperCut NG/MF występuje luka w funkcji skryptów urządzeń wynikająca z niewystarczającej sanityzacji i ograniczeń dostępu w osadzonym silniku wykonawczym. Uwierzytelniony użytkownik z dostępem administracyjnym do interfejsu zarządzania może dostarczyć złośliwy skrypt, który ucieka z sandboxa środowiska uruchomieniowego. Skuteczne wykonanie pozwala atakującemu uruchomić nieautoryzowane polecenia systemu operacyjnego z uprawnieniami administracyjnymi na hoście.

Fabasoft Folio Client przed 2026 nie ogranicza domyślnie, które pochodzenie webowe mogą wywoływać jego funkcje. Wartość rejestru VALIDDOMAINS była opcjonalna i pusta, co powoduje, że wszystkie domeny są zaufane. Każda strona internetowa odwiedzona przez użytkownika z zainstalowanym klientem może wywoływać funkcje klienta, np. pobieranie dokumentów, otwieranie dokumentów i synchronizację plików.

Nanomsg w wersjach od 0.5-beta do 1.x przed 1.2.3 zawiera zdalnie wykorzystywalne przepełnienie bufora w transporcie WebSocket. Przyczyną jest niekontrolowane kopiowanie nagłówka Sec-WebSocket-Version za pomocą funkcji snprintf.

Biblioteka mammoth (mammoth.js) przed wersją 1.12.2 jest podatna na zanieczyszczenie prototypu podczas odczytu stylów z dokumentu. Konwersja spreparowanego pliku .docx pozwala atakującemu dodać dowolne właściwości do Object.prototype, a w wersjach 1.11.0–1.12.1 może również ujawnić zawartość lokalnych plików serwera, gdy opcja externalFileAccess jest ustawiona na true.

W systemie ShopXO w wersjach do 2.2.7 wykryto podatność w nieznanej funkcjonalności pliku config/ueditor.php komponentu Ueditor Upload Interface. Manipulacja argumentem path_type prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wada w Edimax BR-6428nC 1.16. Funkcja websRedirect komponentu goform Handler nieprawidłowo przetwarza argument submit-url, co prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.

W OpenStack Swift przed 2.38.2, middleware tempurl nie odrzuca nagłówka X-Copy-From w żądaniach PUT. Podpis TempURL obejmuje tylko metodę, wygaśnięcie i ścieżkę, więc lista niedozwolonych nagłówków jest jedyną obroną. Atakujący posiadający PUT TempURL dla pojedynczego obiektu może dodać nagłówek X-Copy-From wskazujący dowolny obiekt w tym samym koncie; middleware kopiuje ten obiekt do miejsca docelowego, a atakujący odczytuje dane ofiary za pomocą GET TempURL.