Katalog podatności CVE

Wtyczka Passster w wersjach do 4.3.13 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Wtyczka Slim SEO w wersjach do 4.10.0 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Użytkownik z rolą Contributor może uzyskać dostęp do obiektów, do których nie ma uprawnień.

Wtyczka Amelia w wersjach do 2.4.9 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.

Wtyczka Simple Payment w wersjach do 2.5.4 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka Bold Page Builder w wersjach do 5.9.9 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka Sky Addons for Elementor w wersjach do 3.8.4 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność PHP Object Injection dostępną dla nieuwierzytelnionych użytkowników. Atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do dalszych ataków, takich jak zdalne wykonanie kodu.

Wtyczka SMS Alert Order Notifications w wersjach do 3.9.9 włącznie zawiera podatność eskalacji uprawnień dla subskrybentów. Użytkownik z rolą subskrybenta może podnieść swoje uprawnienia, uzyskując dostęp do funkcji zastrzeżonych dla wyższych ról.

Wtyczka ThemeREX Addons w wersjach starszych niż 2.45.0 jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).

Wtyczka Everest Forms w wersjach 3.6.0 i starszych jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).

Wtyczka Gato GraphQL w wersjach do 19.2.3 włącznie zawiera podatność pozwalającą subskrybentowi na podniesienie swoich uprawnień. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do funkcji zarezerwowanych dla wyższych ról.

Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.

Wtyczka 10up ElasticPress w wersjach do 5.3.4 włącznie zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych. Może to pozwolić na odzyskanie osadzonych poufnych danych.

W Authorizerze przed wersją 2.2.1 endpoint /authorize akceptuje dowolny redirect_uri bez walidacji względem AllowedOrigins. Przy response_type=token lub response_type=id_token serwer dołącza access_token, id_token i refresh_token jako parametry zapytania i wykonuje przekierowanie 302 na adres atakującego. Nieuwierzytelniony atakujący może uzyskać client_id z publicznego endpointu /graphql.

Wtyczka Deposits and Partial Payments for WooCommerce w wersjach do 3.1.0 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Linkstack w wersji 4.8.4 i wcześniejszych jest podatny na path traversal, co pozwala administratorowi na odczyt dowolnych plików na serwerze poprzez manipulację ścieżką pliku. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu do wrażliwych plików systemowych lub aplikacji.

Szablon strony internetowej firmy Arma Digital Media Inc. zawiera podatność polegającą na niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów. Może to pozwolić na wstrzyknięcie kodu. Problem dotyczy wersji do 11092026. Producent został powiadomiony, ale nie odpowiedział.

W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.

W bibliotece Amazon AWS SDK for Go v2 przed wydaniem release-2026-03-23 występuje nieobsłużony błąd panic w dekoderze nagłówka strumienia zdarzeń. Nieuwierzytelniony zdalny atakujący może zakończyć proces aplikacji konsumującej, wysyłając spreparowaną ramkę odpowiedzi strumienia zdarzeń z typem wartości nagłówka spoza prawidłowego zakresu.

W module tarfile języka Python, gdy rozpakowywany jest link w systemie, który nie obsługuje linków, następuje fallback do rozpakowania elementu z archiwum. W takim przypadku funkcja filtra jest uruchamiana dwukrotnie, a dla jednego z wywołań wartość zwracana jest ignorowana, co może prowadzić do nieprawidłowego rozpakowania elementu.