Katalog podatności CVE

Wykryto podatność w embedded-graphics do wersji 0.8.2. Dotyczy ona funkcji ImageRaw::draw_sub_image w pliku src/image/image_raw.rs, gdzie manipulacja argumentem width może prowadzić do przepełnienia liczb całkowitych. Atak można przeprowadzić zdalnie, a projekt został poinformowany o problemie, ale jeszcze nie odpowiedział.

W TooTallNate Java-WebSocket do wersji 1.6.1 wykryto słabość w funkcji processFrameContinuousAndNonFin w pliku Draft_6455.java komponentu Fragmentation Handler. Manipulacja może prowadzić do alokacji zasobów. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Wtyczka WordPress Quads Ads Manager for Google AdSense przed wersją 3.0.5 nie weryfikuje zakończenia płatności u skonfigurowanego operatora płatności przed oznaczeniem zamówienia sprzedaży reklamy jako opłaconego. Umożliwia to użytkownikom składającym zamówienie uzyskanie płatnej emisji reklamy bez dokonania płatności.

Wtyczki WordPress MDJM Event Management przed wersją 1.7.8.5 oraz Mobile Events Manager do wersji 1.4.8.3 nie sprawdzają uprawnień, nonce ani typu rekordu przed trwałym usunięciem wpisu wskazanego w żądaniu usunięcia pozycji playlisty. Umożliwia to nieuwierzytelnionym atakującym zniszczenie dowolnych wpisów, stron i załączników multimedialnych z pominięciem kosza.

Wtyczka WordPress YouTube Embed w wersjach od 10.0 do 10.3 nie wykonuje kontroli autoryzacji w jednej ze swoich akcji AJAX, opierając się wyłącznie na nonce wyświetlanym na każdej stronie front-endu, oraz nie escapuje zapisanych danych przed renderowaniem. Umożliwia to nieuwierzytelnionym atakującym zapisanie dowolnych skryptów webowych, które wykonają się w sesji każdego użytkownika przeglądającego podatną treść, w tym administratora.

Wtyczka WordPress Hoo Companion 1.0.2 nie posiada żadnych kontroli autoryzacji ani walidacji w jednej ze swoich funkcji importu i nie sanityzuje danych przed zapisaniem ich jako ustawienia aktywnego motywu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się u każdego odwiedzającego witrynę, w tym administratorów, a to samo żądanie niszczy istniejące ustawienia motywu.

Wtyczka WordPress CryptoPayment Gateway w wersjach od 1.2.1 do 1.2.2 nie stosuje kontroli autoryzacji w jednym ze swoich punktów końcowych AJAX. Umożliwia to nieuwierzytelnionym użytkownikom wywoływanie operacji administracyjnych, w tym usuwanie dowolnych plików na serwerze, nadpisywanie konfiguracji bramki płatności oraz odzyskiwanie zapisanych danych uwierzytelniających portfela w postaci jawnej.

Wtyczka WordPress GenieWords w wersjach od 1.5.27 do 1.5.34 nie posiada kontroli autoryzacji w niektórych swoich akcjach REST API i AJAX oraz dekoduje zapisane wartości przed ich wyświetleniem. Umożliwia to nieuwierzytelnionym użytkownikom nadpisanie konfiguracji wtyczki i wstrzyknięcie dowolnych skryptów webowych, które wykonują się na każdej stronie front-endu.

Ten identyfikator CVE został odrzucony i nie należy go używać. Powód: kandydat został wycofany przez CNA, a dalsze dochodzenie wykazało, że nie jest to problem bezpieczeństwa.

Biblioteka TinyEXIF w wersjach przed 1.1.0 zawiera błąd przepełnienia bufora w funkcjach EntryParser::Fetch, osiągalny poprzez spreparowaną długość pola SubjectArea. Może to prowadzić do odczytu poza granicami bufora sterty.

CrewAI przed wersją fb2323b oferuje podejście oparte na czarnej liście w Pythonie, które działa na niewłaściwym poziomie abstrakcji — jest to inna podatność niż CVE-2026-2275. Blokowanie nazw modułów w czasie importu nie uwzględnia dostępności pełnego grafu obiektów Pythona; na przykład wywołanie ctypes.CDLL(None) ładuje bibliotekę C bez użycia instrukcji importu. Sandbox wewnątrzprocesowy nie może ograniczać się do systemu importu, lecz musi obejmować cały runtime interpretera Pythona.

W LuxSoft LuxCal do wersji 5.3.4L występuje podatność SQL Injection poprzez pliki rssfeed.php i common/retrieve.php. Podatność umożliwia wstrzyknięcie złośliwego kodu SQL.

Rhymix w wersji przed 2.1.31 pozwala na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR), znane jako RVE-2026-1. Poprzez dodatkowe zmienne możliwy jest dostęp do dowolnych plików.

W kagisearch smallweb do commita 0ecb9c48edbf98dc7e934b54fbac43869e64b4cf wykryto lukę w funkcji index w pliku app/sw.py komponentu Query String Rendering. Manipulacja argumentem qs prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a poprawka jest dostępna jako patch 00b68144e583f20a6b67e29cf01bc07f57979ffb.

W evanchiu serverless-todo 1.0.3/2.0.0 wykryto podatność w funkcji saveTodos w pliku src/index.js komponentu API Todo Endpoint. Manipulacja argumentem event.body prowadzi do zużycia zasobów. Atak można wykonać zdalnie, a exploit jest publicznie dostępny.

W cym1102 nginxWebUI do wersji 4.4.2 wykryto podatność w funkcji MainController.autoUpdate w pliku /adminPage/main/autoUpdate. Manipulacja argumentem url powoduje wstrzyknięcie kodu. Atak można przeprowadzić zdalnie, a exploit jest publicznie ujawniony.

W FlowiseAI Flowise do wersji 3.0.2 wykryto podatność w funkcji axios.post w pliku packages/server/src/controllers/evaluations/index.ts komponentu Evaluations Endpoint. Manipulacja argumentem Host/X-Forwarded-Proto prowadzi do server-side request forgery. Atak można przeprowadzić zdalnie, a exploit jest publiczny. Poprawka dostępna jest w wersji 3.1.3 (patch 700137738bcaebefd4709021f6d6b0abcd7df0ac).

CyberPanel przed wersją 2.4.4 nie rejestruje działań, które mogą potencjalnie manipulować listą domen podrzędnych. Brak logowania utrudnia wykrycie nieautoryzowanych zmian.

CyberPanel w wersji przed 2.4.4 próbuje wykryć domenę "alais" (drugą domenę serwującą tę samą treść co domena główna; poprawna pisownia to "alias") za pomocą filtra zapytań ORM zamiast instrukcji warunkowej Pythona "if".

CyberPanel przed wersją 2.4.4 pomija instrukcję "return 0" wymaganą przez logikę biznesową. Może to prowadzić do nieprawidłowego działania funkcji.