Katalog podatności CVE

Wtyczka Fusion Builder dla WordPressa w wersji 3.15.4 i starszych zawiera podatność umożliwiającą eskalację uprawnień przez współautorów. Atakujący z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.

Wtyczka Stylish Cost Calculator w wersji 8.3.9 i starszych zawiera lukę w mechanizmie kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na ominięcie autoryzacji. Podatność ta może prowadzić do nieautoryzowanego dostępu do funkcji kalkulatora kosztów.

Wtyczka Syncee Premium Dropshipping & Wholesale w wersji 1.0.27 i niższych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może uzyskać nieautoryzowany dostęp do funkcji lub danych chronionych.

Wtyczka Newsletters w wersjach do 4.13 zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.

Wtyczka Trinity Backup do WordPressa w wersji 2.0.9 i niższych umożliwia nieuwierzytelnionym użytkownikom dostęp do wrażliwych danych. Podatność ta pozwala na wyciek informacji bez konieczności logowania.

Wtyczka Intranet & Private Site – All-In-One Intranet w wersji 1.8.1 i starszych zawiera podatność na nieuwierzytelniony, złamany mechanizm kontroli dostępu. Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do chronionych zasobów intranetowych.

Wtyczka Five Star Restaurant Menu w wersji 2.5.2 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji administracyjnych bez wymaganego uwierzytelnienia.

Podatność w Object Cache 4 everyone w wersjach do 2.3.2 umożliwia nieuwierzytelnionemu atakującemu dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia prowadzi do ujawnienia poufnych informacji.

Wtyczka Enable CORS w wersjach do 2.0.3 zawiera nieuwierzytelnione tylne drzwi, które mogą zostać wykorzystane przez nieautoryzowanego atakującego.

Podatność wtyczki Gutenverse Companion w wersji 2.5.0 i niższych umożliwia niezautoryzowanym atakującym ominięcie kontroli dostępu. Luka ta wynika z nieprawidłowej weryfikacji uprawnień, co pozwala na wykonanie nieautoryzowanych operacji bez wymaganego uwierzytelnienia.

Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.

Wtyczka Ads by WPQuads w wersji 3.0.3 i starszych umożliwia nieuwierzytelnionym atakującym dostęp do wrażliwych danych. Podatność ta wynika z braku odpowiedniej kontroli dostępu do danych przechowywanych przez wtyczkę.

Podatność w implementacji KTLS w jądrze FreeBSD powoduje, że podczas odbioru danych przez KTLS na połączeniu loopback, dane pochodzące z sendfile(2) są odszyfrowywane w miejscu, nadpisując stronę pamięci podręcznej pliku zamiast prywatnej kopii. Umożliwia to nieuprzywilejowanemu użytkownikowi lokalnemu nadpisanie zawartości plików, które może odczytać, poprzez wysłanie ich przez połączenie loopback z włączonym odbiorem KTLS.

W parserze PSD programu FastStone Image Viewer w wersji 8.3 występuje przepełnienie liczby całkowitej. Umożliwia ono atakującemu wykonanie dowolnego kodu lub spowodowanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego pliku PSD.

Podatność Local File Inclusion (LFI) wtyczki Goya Core w wersjach starszych niż 1.0.9.4 umożliwia osobie z rolą kontrybutora odczyt dowolnych plików na serwerze.

Wtyczka Splash - Sport Club WordPress Theme dla koszykówki, piłki nożnej i hokeja w wersji 4.4.3 i starszych zawiera podatność na lokalne dołączanie plików (LFI) przez współtwórców. Umożliwia to atakującemu z uprawnieniami współtwórcy odczyt wrażliwych plików na serwerze.

Podatność umożliwia atak CSRF bez uwierzytelnienia we wtyczce Eagle Booking w wersjach do 1.3.4.3. Atakujący może nakłonić administratora do wykonania niezamierzonych działań, np. zmiany ustawień lub dodania nowych użytkowników.

Podatność w Peplink InControl 2 do wersji 2.14.2 przed 2026-06-03 umożliwia ominięcie reguł kontroli dostępu dla niektórych endpointów /rest/o/{orgId} poprzez użycie średnika.

Podatność w Apache Kerby umożliwia ominięcie sprawdzenia pre-autoryzacji Kerberos poprzez wysłanie PA-DATA z nierozpoznanym lub nieobsługiwanym typem. Problem został naprawiony w wersji 2.1.2.

Podatność typu OS Command Injection w modułach Dell Container Storage Modules (csi-powerstore, csi-unity, csi-powerflex, csi-powermax w wersji 2.16.0) pozwala wysoko uprzywilejowanemu atakującemu z dostępem zdalnym na wykonanie dowolnych poleceń systemu operacyjnego.