Katalog podatności CVE

Wtyczka WP Forms Connector dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'order' w punkcie końcowym /wp-json/wp/v3/post/list w wersjach do 1.8 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru 'order' oraz braku odpowiedniego przygotowania zapytania SQL.

Wtyczka WP Forms Connector dla WordPressa jest podatna na ujawnienie informacji we wszystkich wersjach do i włącznie z 1.8. Wtyczka rejestruje trasę REST wp/v3/user/list/<id> z ustawionym permission_callback na '__return_true', co pozwala na dostęp do wrażliwych informacji bez odpowiedniej autoryzacji.

Wtyczka ClearSale Total dla WordPressa jest podatna na atak SQL Injection poprzez parametr POST `pagseguro[metodo]` w akcji AJAX `clearsale_total_push` we wszystkich wersjach do 3.4.2 włącznie. Mimo istnienia sprawdzenia `wp_verify_nonce()`, jego niepowodzenie nie przerywa wykonania, co pozwala na wykorzystanie podatności.

Wtyczka Welcome Software Publishing dla WordPressa jest podatna na aktualizację dowolnych opcji w wersjach do 0.0.31 włącznie. Brak weryfikacji uprawnień w funkcji nc_setOption() umożliwia atakującym z poziomem dostępu Subscriber i wyżej aktualizację opcji WordPressa za pomocą żądań XML-RPC.

Podatność ACE w logback-core do wersji 1.5.36 umożliwia zdalne wykonanie kodu poprzez ominięcie zabezpieczeń CVE-2025-11226. Atak wymaga obecności biblioteki Janino na ścieżce klas oraz dostępu do pliku konfiguracyjnego lub wstrzyknięcia zmiennej środowiskowej.

Wtyczka URL Preview dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 1.0 poprzez parametr 'url'. Umożliwia to nieautoryzowanym atakującym wykonywanie żądań sieciowych do dowolnych lokalizacji z aplikacji webowej.

Wtyczka Kargo Takip dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 1.2, poprzez parametr 'api_url'. Umożliwia to nieautoryzowanym atakującym wykonywanie żądań sieciowych do dowolnych lokalizacji z poziomu aplikacji webowej.

Wtyczka Post Duplicator dla WordPressa przed wersją 3.0.15 nieprawidłowo obsługuje niestandardowe metadane podczas duplikacji postów, co pozwala na przechowywanie wartości dostarczonych przez atakującego bez ochrony podwójnej serializacji API metadanych WordPressa.

Wtyczki WordPress, takie jak Shapedsmart-post-show-pro, Real Testimonials Pro oraz Product Slider for WooCommerce, przed określonymi wersjami zawierały złośliwy kod. Zostały one dystrybuowane przez skompromitowany serwer aktualizacji dostawcy, co umożliwiło atakującym bez uwierzytelnienia wdrożenie drugiego etapu ataku.

Wtyczka Cincopa do WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode cincopa w komentarzach postów w wersjach do 1.163 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia.

Wtyczka Email JavaScript Cloak dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez shortcode 'email' we wszystkich wersjach do 1.03 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie współpracownika i wyżej, wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka ARForms dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez parametr `value` w akcji AJAX `arf_save_incomplete_form_data` w wersjach do 7.1.3 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych.

W podatności w Google go-attestation, funkcja parseEfiSignatureList() nieprawidłowo waliduje indeksy, co pozwala na dodanie kontrolowanych przez atakującego bajtów nagłówka dostawcy do zaufanej listy hashy SHA256. Może to prowadzić do akceptacji skompromitowanego stanu rozruchu przez weryfikator zdalnej attestation.

Style Dictionary, system budowania do tworzenia stylów międzyplatformowych, ma podatność na zanieczyszczenie prototypu od wersji 4.3.0 do 5.4.4. Użytkownicy są narażeni na ryzyko w przypadku bezpośredniego lub pośredniego użycia API, szczególnie w aplikacjach serwerowych NodeJS.

Podatność w Anthropic Claude Desktop (wersje od v1.1348.0 do v1.2278.0) polega na braku weryfikacji integralności obrazu systemu plików maszyny wirtualnej Cowork. Lokalny atakujący z nieuprzywilejowanym dostępem do konta macOS może zmodyfikować obraz rootfs.img, który zostanie załadowany przy kolejnym uruchomieniu VM, co umożliwia trwałe wykonanie dowolnego kodu w maszynie wirtualnej i dostęp do zamontowanych katalogów hosta.

Błędna weryfikacja wartości zwracanej funkcji w oprogramowaniu Caliptra Core Runtime Firmware umożliwia obejście weryfikacji oprogramowania MCU podczas aktualizacji bez przestojów.

FlatPress zawiera podatność na przechowywane ataki typu cross-site scripting w formularzach komentarzy i kontaktowych, gdzie pola imienia, URL i e-mail są renderowane bez odpowiedniego kodowania wyjściowego w szablonach Smarty. Atakujący mogą wstrzykiwać dowolny HTML i JavaScript przez te pola.

Moduł tarfile w Pythonie, używany z plikiem otwartym w trybie strumieniowym (mode="r|"), nieprawidłowo obsługiwał EOF, co powodowało wykładnicze wydłużenie czasu parsowania archiwum.

Jackson-databind od wersji 2.10.0 do 2.18.8, 2.21.4 i 3.1.4 zawiera lukę w BasicPolymorphicTypeValidator, gdzie metoda allowIfSubTypeIsArray() zezwala na dowolne typy tablicowe bez walidacji typu elementu. Pozwala to na ominięcie listy dozwolonych typów i deserializację niebezpiecznych obiektów, takich jak EvilType[].

Podatność w jackson-databind pozwala na ominięcie mechanizmu PolymorphicTypeValidator (PTV) podczas deserializacji polimorficznej. Gdy typ zawiera parametry generyczne (np. ArrayList<Gadget>), walidacja sprawdza tylko nazwę kontenera, a nie typów zagnieżdżonych, co umożliwia załadowanie niebezpiecznej klasy jako parametru generycznego.