Katalog podatności CVE

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.7.7 włącznie, poprzez parametr 'mediaId', z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może uzyskać dostęp do transkrypcji prywatnych załączników audio innych użytkowników, w tym administratorów. Podatność wymaga włączonego modułu Public API.

Wtyczka Eventin dla WordPressa do wersji 4.1.23 włącznie jest podatna na eskalację uprawnień. Funkcja PermissionManager::manage_permissions() jest zarejestrowana jako callback na filtrze map_meta_cap i bezwarunkowo zwraca zawsze prawdziwy prymityw 'exist' dla każdej kontroli uprawnień, gdy ID użytkownika wynosi 1, bez ograniczenia do uprawnień specyficznych dla wtyczki. Pozwala to uwierzytelnionym atakującym z ID 1, nawet subskrybentom, przejść wszystkie kontrole uprawnień WordPressa, w tym manage_options, edit_plugins, edit_themes, promote_users i update_core, co prowadzi do pełnego przejęcia strony i zdalnego wykonania kodu. Eksploitacja jest skuteczna tylko gdy użytkownik ID 1 został celowo zdegradowany do roli o niższych uprawnieniach; na domyślnych instalacjach, gdzie ID 1 ma rolę administratora, nie ma dodatkowego wzrostu uprawnień.

Wtyczka Job Postings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'position_button' we wszystkich wersjach do 2.8.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'etn_shedule_objective' w schedule_slot we wszystkich wersjach do 4.1.23 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem współtwórcy lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.

W SourceCodester Online Faculty Clearance System 1.0 wykryto podatność na iniekcję SQL w nieznanej funkcji pliku /delete_faculty1.php, poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.

W D-Link DI-8300 16.07 wykryto podatność w funkcji rzgl_asp w pliku /rzgl.asp komponentu CGI Service. Manipulacja argumentem redirct_url powoduje przepełnienie bufora na stosie. Zdalne wykorzystanie jest możliwe, a exploit został opublikowany i może być użyty.

W stamparm maltrail do wersji 3.0.1 wykryto słabość w funkcji _blacklist w pliku core/httpd.py komponentu Blacklist Endpoint. Manipulacja może prowadzić do braku uwierzytelnienia. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Problem naprawiono w wersji 3.1.

W D-Link DI-8400 16.07 odkryto lukę w funkcji ddns_asp w pliku /ddns.asp komponentu DDNS Configuration. Manipulacja argumentami serv/user/host/wild/mx/bmx/cust/ip powoduje przepełnienie bufora na stosie. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony i może być użyty do ataków.

Aplikacja Android "ManabiPocket for Parents" zawiera podatność na nieprawidłową kontrolę dostępu w jednym z jej komponentów. Złośliwa aplikacja zainstalowana na urządzeniu może wykorzystać ten komponent przez Intent, potencjalnie uzyskując wrażliwe informacje z aplikacji.

W hawtio-operator wykryto usterkę: gdy skonfigurowano niestandardowy sekret TLS dla Route, a operator działa na poziomie debugowania 1 lub wyższym, cały obiekt Route — w tym prywatny klucz TLS w formacie PEM — jest serializowany do JSON i zapisywany na standardowym wyjściu operatora. Logi operatora są zazwyczaj przekazywane do centralnych systemów logowania i czytelne dla każdego z dostępem do pods/log w przestrzeni nazw openshift-operators. Poziom debugowania 1 jest niskim progiem często włączanym podczas rozwiązywania problemów.

W hawtio-operator wykryto usterkę: operator posiada uprawnienie routes/custom-host:create w całym klastrze i zapisuje wartość spec.routeHostName dostarczoną przez dzierżawcę z zasobu Hawtio bezpośrednio do specyfikacji Route bez walidacji lub kontroli autoryzacji. Użytkownik z uprawnieniami edycji przestrzeni nazw, który normalnie nie może ustawiać niestandardowych nazw hostów Route, może użyć operatora jako confused deputy do przejęcia dowolnych zewnętrznie routowalnych nazw hostów, co umożliwia przejęcie subdomeny, a w połączeniu z automatycznie przyznawanym OAuthClient — przejęcie przekierowania OAuth.

Wtyczka WordPress WP Directory Kit do wersji 1.5.7 nie sprawdza statusu ani własności wpisu przed zwróceniem jego treści przez publiczną akcję AJAX, co pozwala nieuwierzytelnionym atakującym na odczyt szkiców i niezatwierdzonych wpisów należących do innych użytkowników.

moment to biblioteka JavaScript do parsowania, walidacji, manipulacji i formatowania dat. W wersjach od 2.29.2 do 2.30.1 specjalnie spreparowany obiekt niebędący łańcuchem znaków przekazany do moment.locale() może obejść zabezpieczenie przed path traversal w nazwie locale. Zabezpieczenie zakłada, że dane wejściowe są łańcuchem znaków, więc obiekt, którego metoda match() spełnia warunek, a toString() zwraca ścieżkę traversal, dociera do wewnętrznego wywołania require() z segmentami ścieżki kontrolowanymi przez atakującego. Jest to niekompletna poprawka dla CVE-2022-24785 i dotyczy głównie użytkowników npm (po stronie serwera), którzy przekazują dane wejściowe od użytkownika bezpośrednio do moment.locale(). Problem naprawiono w wersji 2.31.0.

Wtyczka WordPress WP Directory Kit w wersji do 1.5.7 nie sanityzuje ani nie escapuje niektórych ustawień widgetów przed użyciem ich w zapytaniu SQL. Umożliwia to uwierzytelnionym użytkownikom z dostępem do kreatora stron (rola Editor i wyższe) przeprowadzenie ataków SQL injection, które wykonują się podczas renderowania dotkniętej strony.

Wtyczka WordPress WP Directory Kit w wersji do 1.5.7 nie sprawdza autoryzacji ani widoczności ogłoszeń w jednym ze swoich shortcode'ów. Umożliwia to użytkownikom z rolą tak niską jak Contributor ujawnienie niepublicznych treści ogłoszeń, w tym pól chronionych hasłem i ukrytych, należących do innych użytkowników.

Wtyczka 3D FlipBook – PDF Embedder, PDF Flipbook Viewer, Flipbook Image Gallery dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.16.20 włącznie, poprzez parametr 'id'. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie poufnych danych, w tym pełnego ładunku metadanych flipbooków chronionych hasłem — tytułu, konspektu, właściwości i serializowanego bloba danych zawierającego bezpośredni URL bazowego pliku PDF — z pominięciem poufności hasła WordPress. Identyfikatory postów flipbooków mogą być wstępnie wyliczone przez również nieuwierzytelnioną akcję AJAX fb3d_send_posts, co nie wymaga wcześniejszej wiedzy do targetowania konkretnych flipbooków.

Wykryto podatność w D-Link DIR-882 do wersji 20260814. Dotyczy ona funkcji main w pliku /HNAP1/dllog.cgi w komponencie CGI Binary. Manipulacja prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W urządzeniu D-Link DSL-3782 w wersji z 2016-07-28 odkryto lukę bezpieczeństwa. Problem dotyczy funkcji system w pliku /cgi-bin/New_GUI/Set/Diagnostics.asp w komponencie Diagnostics. Manipulacja argumentem Addr prowadzi do wstrzyknięcia poleceń. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W oprogramowaniu zyx0814 FilePress w wersji do 3.0.1 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku dzz/publish/search.php w komponencie Publish Module. Manipulacja argumentami orderby/order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

Wykryto podatność w vllm-project vLLM do wersji 0.27.1. Dotyczy ona nieznanej części pliku /v1/chat/completions w komponencie Jinja Template Rendering. Manipulacja argumentem chat_template prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Pull request z poprawką oczekuje na akceptację.