Katalog podatności CVE

Podatność w aplikacji PayRange w wersji 7.0.7 umożliwia wstrzyknięcie JavaScript do WebView w połączeniu z ominięciem SSL. Wstrzyknięcie określonych wywołań funkcji JavaScript pozwala atakującemu opuścić sandbox WebView i wykonać niebezpieczne działania na urządzeniu użytkownika.

Podatność CVE-2026-42486 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.platform:hvm_serial, co powinno być zastrzeżone dla roli pool-admin. Pozwala to na dowolny zapis plików w dom0, co może prowadzić do eskalacji uprawnień i naruszenia integralności systemu.

Podatność CVE-2026-23562 w XAPI (XenServer API) umożliwia użytkownikowi z rolą vm-admin konfigurację PCI passthrough, co normalnie jest zarezerwowane dla roli pool-admin. Brak odpowiedniego sprawdzenia uprawnień w jednym z API pozwala na dostęp do nieprzeznaczonego sprzętu hosta.

W XAPI użytkownik z rolą vm-admin może ustawić parametr VM.other_config:storage_driver_domain, oznaczając maszynę wirtualną jako domenę pamięci masowej dla połączenia PBD. Zatrzymanie takiej maszyny może spowodować błędne oznaczenie PBD jako odłączonego, mimo że tak nie jest.

Podatność CVE-2026-23560 w XAPI umożliwia użytkownikowi z rolą vm-admin ustawienie parametru VM.other-config:is_system_domain, co pozwala oznaczyć maszynę wirtualną jako domenę systemową. Takie domeny są ignorowane i pozostawiane uruchomione podczas operacji na hoście lub puli, a także mogą być ukryte przed narzędziami administracyjnymi.

Użytkownik z rolą vm-admin w XAPI może ustawić parametr VBD.other_config:backend-local, co pozwala na przekształcenie dowolnych plików w dom0 w wirtualne dyski (VDI) i przypisanie ich do kontrolowanej maszyny wirtualnej. Umożliwia to nieautoryzowany odczyt i modyfikację plików w domenie 0.

W procesie zamykania domeny przez oxenstored dane węzłów są czyszczone, ale liczniki użycia pozostają wycieknięte. Po ponownym użyciu identyfikatora domeny nowa domena może utworzyć mniej węzłów, zanim zostanie uznana za przekraczającą limit.

Podatność w komponencie varstored stosu Xapi, który obsługuje zmienne UEFI dla maszyn wirtualnych. Brak wystarczających barier kompilatora powoduje problemy TOCTOU (time-of-check time-of-use) w współdzielonym buforze z OVMF, co może pozwolić atakującemu na kontrolowanie indeksu używanego w tablicy skoków.

W XAPI występuje kilka podatności: (1) aktualizacje bazy danych XAPI oczyszczają dane wejściowe, ale powiadomienia są generowane z nieoczyszczonych danych, co powoduje zatrzymanie wątku zdarzeń bazy danych; (2) kodowanie UTF-8 w XAPI jest zgodne ze standardem Unicode v3.0, podczas gdy używane biblioteki wymagają v3.1, co prowadzi do akceptacji nieprawidłowych ciągów znaków, które mogą uniemożliwić załadowanie bazy danych; (3) brak oczyszczania danych wejściowych dla aktualizacji Map/Set na obiektach w bazie danych XAPI.

Podatność CVE-2025-27464 dotyczy sterownika XenBus dla systemu Windows, który nie posiada deskryptora zabezpieczeń, co umożliwia nieuprzywilejowanym użytkownikom pełny dostęp do jego funkcji.

Podatność CVE-2025-27463 dotyczy sterownika XenIface w systemie Windows PV drivers. Brak deskryptora zabezpieczeń umożliwia nieuprzywilejowanym użytkownikom pełny dostęp do tego interfejsu.

Sterowniki Windows PV (XenCons) nie mają deskryptora zabezpieczeń, co pozwala nieuprzywilejowanym użytkownikom na pełny dostęp do funkcji udostępnianych przez ten komponent.

Podatność w Xerte Online Tools umożliwia ominięcie uwierzytelniania i zdalne wykonanie kodu poprzez ponowną instalację przez folder /setup/, co pozwala atakującym na przejęcie kontroli nad usługą i podłączenie jej do zdalnej bazy danych.

Podatność w Xerte Online Tools umożliwia zdalne wykonanie kodu (RCE) poprzez zmianę ścieżki binarnej antywirusa w ustawieniach serwera na interpreter PHP. Atakujący może następnie przesłać dane PHP, które zostaną wykonane na serwerze.

W oprogramowaniu BiEticaret firmy Inrove Software and Internet Services wykryto podatność na wstrzykiwanie SQL (SQL injection) spowodowaną nieprawidłową neutralizacją specjalnych elementów w zapytaniach SQL. Podatność ta umożliwia atakującemu wykonanie dowolnych zapytań SQL w bazie danych.

W aplikacji ValeApp firmy OceanicSoft Informatics Systems Ltd. wykryto podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron internetowych. Luka ta występuje we wszystkich wersjach do 09072026 włącznie.

Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.

Wtyczka miniOrange OTP Login, Verification and SMS Notifications dla WordPressa jest podatna na obejście uwierzytelniania, co prowadzi do przejęcia konta administratora. Podatność występuje we wszystkich wersjach do 5.5.1 włącznie, z powodu braku weryfikacji po stronie serwera w funkcji `um_reset_password_process_hook()` oraz polegania na publicznym nonce `form_nonce`.

Podatność w narzędziu BOSH CLI umożliwia atakującemu zapis dowolnych plików oraz wyciek wrażliwych informacji poprzez manipulację ścieżką w pliku blobs.yml. Problem dotyczy wersji starszych niż v7.10.4.