Katalog podatności CVE

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność PHP Object Injection dostępną dla nieuwierzytelnionych użytkowników. Atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do dalszych ataków, takich jak zdalne wykonanie kodu.

Wtyczka SMS Alert Order Notifications w wersjach do 3.9.9 włącznie zawiera podatność eskalacji uprawnień dla subskrybentów. Użytkownik z rolą subskrybenta może podnieść swoje uprawnienia, uzyskując dostęp do funkcji zastrzeżonych dla wyższych ról.

Wtyczka ThemeREX Addons w wersjach starszych niż 2.45.0 jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).

Wtyczka Everest Forms w wersjach 3.6.0 i starszych jest podatna na nieuwierzytelnione wstrzyknięcie obiektu PHP (PHP Object Injection).

Wtyczka Gato GraphQL w wersjach do 19.2.3 włącznie zawiera podatność pozwalającą subskrybentowi na podniesienie swoich uprawnień. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do funkcji zarezerwowanych dla wyższych ról.

Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.

Wtyczka 10up ElasticPress w wersjach do 5.3.4 włącznie zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych. Może to pozwolić na odzyskanie osadzonych poufnych danych.

W Authorizerze przed wersją 2.2.1 endpoint /authorize akceptuje dowolny redirect_uri bez walidacji względem AllowedOrigins. Przy response_type=token lub response_type=id_token serwer dołącza access_token, id_token i refresh_token jako parametry zapytania i wykonuje przekierowanie 302 na adres atakującego. Nieuwierzytelniony atakujący może uzyskać client_id z publicznego endpointu /graphql.

Wtyczka Deposits and Partial Payments for WooCommerce w wersjach do 3.1.0 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Linkstack w wersji 4.8.4 i wcześniejszych jest podatny na path traversal, co pozwala administratorowi na odczyt dowolnych plików na serwerze poprzez manipulację ścieżką pliku. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu do wrażliwych plików systemowych lub aplikacji.

Szablon strony internetowej firmy Arma Digital Media Inc. zawiera podatność polegającą na niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów. Może to pozwolić na wstrzyknięcie kodu. Problem dotyczy wersji do 11092026. Producent został powiadomiony, ale nie odpowiedział.

W warstwie wartości dokumentów serwera MongoDB występuje warunek wyścigu, który pozwala równoległym wątkom serwera operować na tej samej pamięci wewnętrznej bez synchronizacji, prowadząc do uszkodzenia pamięci. Uwierzytelniony użytkownik z zwykłymi uprawnieniami odczytu i zapisu do bazy danych może wywołać ten stan przez standardowy protokół klienta.

W bibliotece Amazon AWS SDK for Go v2 przed wydaniem release-2026-03-23 występuje nieobsłużony błąd panic w dekoderze nagłówka strumienia zdarzeń. Nieuwierzytelniony zdalny atakujący może zakończyć proces aplikacji konsumującej, wysyłając spreparowaną ramkę odpowiedzi strumienia zdarzeń z typem wartości nagłówka spoza prawidłowego zakresu.

W module tarfile języka Python, gdy rozpakowywany jest link w systemie, który nie obsługuje linków, następuje fallback do rozpakowania elementu z archiwum. W takim przypadku funkcja filtra jest uruchamiana dwukrotnie, a dla jednego z wywołań wartość zwracana jest ignorowana, co może prowadzić do nieprawidłowego rozpakowania elementu.

Wbudowane wzorce wyszukiwania nazw EMAIL i URL w Apache OpenNLP zawierają niejednoznaczne zagnieżdżone kwantyfikatory, co umożliwia atak ReDoS. Przygotowany tekst wejściowy może wywołać superliniowe cofanie (backtracking) lub rekurencję matchera, prowadząc do wyczerpania CPU lub błędu StackOverflowError. Podatność dotyczy wersji od 2.0.0 do 2.5.11 oraz od 3.0.0-M1 do 3.0.0-M5.

Chamilo LMS przed wersją 1.11.42 oraz 3.0.0 zawiera podatność typu stored cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwe skrypty do odpowiedzi ankiet poprzez obliczenie deterministycznych kodów zaproszeń i obejście kontroli autoryzacji w punkcie końcowym przesyłania ankiety. Złośliwe skrypty są renderowane w widokach raportowania i wykonują się w sesjach przeglądarki nauczycieli lub administratorów.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na brak autoryzacji w trasie aliasu bloku (Process::alias() w concrete/controllers/backend/block/process.php). Nie weryfikuje, czy przywoływany blok jest rzeczywiście osierocony na stronie docelowej, ani czy wywołujący ma jakiekolwiek uprawnienia do bloku źródłowego. Użytkownik z delegacją add_block_to_area ograniczoną do obszaru na własnej stronie może przekazać dowolny identyfikator bloku w witrynie, co powoduje skopiowanie zawartości bloku źródłowego do obszaru kontrolowanego przez atakującego, ujawnienie tej zawartości, a następnie wymuszone usunięcie oryginalnego bloku w tym samym żądaniu.

Concrete CMS w wersjach od 9.2.0 do 9.5.2 zawiera podatność braku autoryzacji w punkcie końcowym listy grup REST API. Metoda listGroups() w concrete/src/Api/Controller/Groups.php rejestruje funkcję sprawdzającą uprawnienia, która bezwarunkowo zwraca true, więc nie jest egzekwowana autoryzacja na poziomie obiektu (węzła drzewa) przy zwracaniu kolekcji grup. Uwierzytelniony użytkownik z tokenem API o zakresie groups:read może wywołać GET /ccm/api/1.0/groups i otrzymać wszystkie grupy w witrynie, niezależnie od uprawnień widoku.

W Smart E-Commerce od IdeaSoft Software Industry and Trade Inc. przed wersją 8.4.2.0 występuje podatność Reflected XSS spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

W wpa_supplicant we wszystkich wersjach przed 2.12 występuje brak walidacji w ścieżce wyboru PMKSA opartej na sterowniku w pliku wpa.c. Umożliwia to lokalnemu atakującemu obejście prawidłowego kontekstu sieci i dopasowania AKMP dla buforowania PMKSA.