Katalog podatności CVE

Wtyczka WPJAM Basic w wersji 7.0 i wcześniejszych zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub innych nieautoryzowanych działań.

Wtyczka Themify Builder dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 7.7.4 włącznie.

Wtyczka Jobmonster dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 4.8.5 włącznie.

Wtyczka ChatBot dla WordPressa do wersji 8.3.7 zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany przy każdym wyświetleniu strony.

Podatność w wiadomości OCPP DataTransfer `ReserveLogin` umożliwia wstrzyknięcie komend systemowych. Manipulacja wartością danych pozwala na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami root.

Stacja ładowania nie wymaga uwierzytelnienia dla komend Bluetooth, co umożliwia nieautoryzowanym urządzeniom wykonywanie działań. Podatność pozwala na wyciek wrażliwych informacji, wymuszenie restartu urządzenia lub przesłanie adresu URL aktualizacji firmware.

W bibliotece waooAI waoowaoo do wersji 0.4.1 wykryto słabość polegającą na nieprawidłowym uwierzytelnianiu w funkcjach getInternalTaskSession, getAuthSession, requireUserAuth, requireProjectAuth i requireProjectAuthLight w pliku src/lib/api-auth.ts. Manipulacja argumentem x-internal-user-id w żądaniu umożliwia zdalne obejście uwierzytelniania. Exploit został opublikowany i może być wykorzystany w atakach.

W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_407220 pliku /usr/sbin/httpd w komponencie renderowania listy DNS. Manipulacja prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Projekt jest zastąpiony przez FreshTomato.

W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.

W komponencie vllm-orchestrator-gateway odkryto podatność polegającą na logowaniu wszystkich nagłówków autoryzacyjnych oraz pełnych treści rozmów do trwałych logów. Dane te mogą zawierać dane osobowe (PII) i sekrety, takie jak tokeny bearer, które stają się dostępne dla każdego użytkownika z uprawnieniami do odczytu logów.

W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji main pliku www/apcupsd/tomatodata.cgi komponentu apcupsd. Manipulacja prowadzi do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Shibby Tomato do wersji 1.28.0000 w komponencie apcupsd funkcja getupsvar w pliku www/apcupsd/tomatodata.cgi jest podatna na przepełnienie bufora stosu poprzez argument Field. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W urządzeniu Tenda CH22 w wersji 1.0.0.1 odkryto podatność polegającą na przepełnieniu bufora w funkcji formCertListInfo pliku /goform/CertListInfo. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.

W bibliotece Isaiah do wersji 1.36.9 znaleziono podatność w komponencie uwierzytelniania połączeń WebSocket. Nieznana funkcja w pliku app/main.go umożliwia nieprawidłowe uwierzytelnienie, co może być wykorzystane zdalnie. Poprawka oczekuje na akceptację w pull requeście.

W bibliotece will-moss Isaiah do wersji 1.36.9 wykryto brak autoryzacji w funkcji Server.Handle pliku app/server/server/server.go w komponencie Master Websocket Handler. Manipulacja argumentem Agent umożliwia zdalne wykorzystanie podatności bez wymaganej autoryzacji.

Podatność CVE-2026-14165 w Tuleap Enterprise Edition umożliwia ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz. Atakujący może uzyskać dostęp do danych innych użytkowników bez odpowiedniego upoważnienia.

W systemie SourceCodester Online Book Store System 1.0 odkryto podatność SQL injection w pliku admin/login.php. Atakujący może zdalnie manipulować argumentem Username, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany publicznie.

Wtyczka Library Management System dla WordPress przed wersją 3.5.8 nie oczyszcza ani nie escapuje parametru dostarczonego przez użytkownika przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL injection i wyodrębnienie dowolnych danych z bazy, w tym skrótów haseł użytkowników.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza kontroli uprawnień do zapisów, zakupów i dostępu do prywatnych kursów w integracji z Droip i Kirki. Umożliwia to uwierzytelnionym użytkownikom z poziomem subskrybenta zapisywanie się na płatne lub prywatne kursy, czytanie treści prywatnych kursów oraz oznaczanie dowolnych kursów jako ukończone.

Wtyczka User Registration & Membership dla WordPressa przed wersją 5.2.2 nie sprawdza autoryzacji podczas akcji uaktualnienia członkostwa i pobiera identyfikator użytkownika do modyfikacji z parametru podanego przez wywołującego, a nie z bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zmianę roli WordPressa i poziomu członkostwa innego użytkownika.