Katalog podatności CVE

W oprogramowaniu sprzętowym Tenda CP3 V3.0 w wersji V31.1.9.91 wykryto przepełnienie bufora oparte na stosie w usłudze RTSP. Urządzenie nie sprawdza długości wartości clock= w nagłówku Range podczas przetwarzania żądania PLAY, co może prowadzić do awarii usługi.

W oprogramowaniu sprzętowym Tenda CP3 V3.0 w wersji V31.1.9.91 brakuje walidacji nagłówka Content-Length w żądaniach RTSP (DESCRIBE, SETUP, PLAY). Gdy żądanie zawiera ten nagłówek bez treści, parser RTSP przechodzi w stan oczekiwania na treść, co trwale blokuje połączenie TCP. Niezautoryzowany atakujący zdalnie może wykorzystać tę lukę do wyczerpania zasobów TCP i spowodowania odmowy usługi (DoS).

Parser HTML (html.parser.HTMLParser) w trybie przyrostowym pozwala na atak DoS na procesor poprzez wielokrotne niezakończone deklaracje znaczników podczas przetwarzania niesterowanych danych.

W skrypcie SourceCodester Simple and Nice Shopping Cart Script 1.0 wykryto podatność na iniekcję SQL w pliku /login.php. Atakujący może zdalnie manipulować argumentem Username, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit jest publicznie dostępny.

Aplikacja PayRange na Androida w wersji 7.0.7 i niższych zawiera podatność umożliwiającą ominięcie weryfikacji SSL w widokach webview, co pozwala na akceptowanie nieprawidłowych certyfikatów. Zdalny, nieuwierzytelniony atakujący może przechwycić dane przesyłane przez użytkownika.

W n8n, platformie automatyzacji przepływów pracy open source, przed wersjami 1.123.61, 2.27.4 i 2.28.1 uwierzytelniony użytkownik z domyślnym uprawnieniem workflow:create mógł zanieczyścić Object.prototype poprzez spreparowany przepływ pracy zapisany, zaktualizowany lub zaimportowany za pomocą API przepływów pracy. Umożliwiało to traktowanie nieuwierzytelnionych żądań jako uprzywilejowanego użytkownika i ujawniało punkty końcowe listy użytkowników i projektów.

W Cesanta Mongoose przed wersją 7.22 wykryto podatność polegającą na odczycie poza dozwolonym zakresem w funkcji mg_tls_server_recv_hello(). Atakujący może wysłać spreparowane ClientHello z nadmierną długością identyfikatora sesji, co prowadzi do odczytu poza buforem i awarii usług HTTPS, MQTTS lub WSS.

W Zeek przed wersją 8.0.9 wykryto podatność na dereferencję pustego wskaźnika w analizatorze protokołu Kerberos. Nieuwierzytelniony atakujący zdalnie może wysłać spreparowany pakiet KRB_ERROR z kodem błędu 25 (KDC_ERR_PREAUTH_REQUIRED) zawierający element PA-DATA z typem 2, 3, 11 lub 19, co powoduje crash sensora.

Podatność w analizatorze FTP Zeek przed wersją 8.0.9 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie zakończenia procesu poprzez wysłanie spreparowanej sesji FTP negocjującej AUTH GSSAPI, a następnie dużej linii kontrolnej ADAT. Brak sprawdzania maksymalnej długości linii w komponencie NVT_Analyzer prowadzi do niekontrolowanego podwajania wewnętrznego bufora podczas dekodowania base64 tokena ADAT, co skutkuje odmową usługi sensora Zeek.

Podatność SQL Injection w rozszerzeniu AcyMailing dla Joomla w wersjach poniżej 10.11.1 umożliwia nieautoryzowany dostęp do bazy danych i wyciek danych.

Podatność w systemach CPCI85 Central Processing/Communication i SICORE Base (wersje przed V26.20/V26.20.0) wynika z niewystarczającej walidacji danych uwierzytelniających podczas modyfikacji kont administracyjnych przez API webowe. Umożliwia to uwierzytelnionemu atakującemu ominięcie kontroli bezpieczeństwa i nieautoryzowane podniesienie uprawnień.

Podatność na wstrzykiwanie LDAP w produkcie PassGate firmy PEAKUP Technology Inc. umożliwia atakującemu manipulację zapytaniami LDAP poprzez niewłaściwe neutralizowanie specjalnych elementów. Luka występuje we wszystkich wersjach PassGate do 30 kwietnia 2026 roku.

Wewnętrzny i nieudokumentowany endpoint API Dashboardu (POST /api/users/~/{user}/tokens) nie sprawdzał wystarczających uprawnień przy tworzeniu tokena API dla innego użytkownika. Atakujący znający login uprzywilejowanego użytkownika wewnętrznego i uwierzytelniony przez OAuth/OIDC mógł sfałszować żądanie utworzenia tokena w jego imieniu.

Wtyczka WP Cost Estimation & Payment Forms Builder (E&P Forms) dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'customerInfos' we wszystkich wersjach do 10.5.97 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka DTLS w GStreamer zawiera podatność na przepełnienie bufora stosu. Podczas uzgadniania DTLS nazwa wyróżniająca (Subject DN) certyfikatu równorzędnego jest kopiowana do 2048-bajtowego bufora na stosie bez sprawdzania granic. Zdalny, nieuwierzytelniony atakujący może wysłać certyfikat z nadmiernie długim Subject DN, powodując przepełnienie bufora i awarię procesu.

Wtyczka rfbsrc w GStreamer zawiera podatność na przepełnienie bufora sterty. Podczas łączenia się klienta ze złośliwym serwerem RFB/VNC, który reklamuje bufor ramki 16bpp i wysyła aktualizacje zakodowane w Hextile, ścieżka wypełnienia tła Hextile zapisuje 32-bitowe wartości pikseli do bufora przeznaczonego dla 16-bitowych pikseli. Ta niezgodność typów powoduje zapis poza granicami sterty, co może prowadzić do odmowy usługi (awaria procesu) i potencjalnego uszkodzenia pamięci.

SOPlanning zawiera podatność na wstrzykiwanie SQL w konfiguracji przechowywania audytu. Atakujący z uprawnieniami parameters_all może wstrzyknąć polecenia SQL do formularza konfiguracji audytu, które są następnie zapisywane. Wykonanie następuje przy dostępie do funkcji audytu przez atakującego lub innego użytkownika.

Wtyczka Divi Torque Lite dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.2.3 włącznie. Problem wynika z użycia '__return_true' jako wywołania zwrotnego uprawnień dla endpointów REST API /install_plugin i /activate_plugin, co omija wbudowaną weryfikację nonce WordPressa. Mimo że funkcje wywołania zwrotnego zawierają wewnętrzne sprawdzenia current_user_can(), brak weryfikacji nonce umożliwia sfałszowane żądanie z przeglądarki zalogowanego administratora, które przechodzi kontrolę uprawnień dzięki ciasteczkom sesji administratora.

Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.

Wtyczka EventPrime dla WordPressa do wersji 4.3.4.2 zawiera podatność na trwałe XSS przez parametr 'new_event_type_background_color'. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.