Katalog podatności CVE

Rozszerzenie ukrywa poprawną odpowiedź CAPTCHA w danych obrazu samej CAPTCHA. Każdy, kto może pobrać obraz CAPTCHA, może odczytać z niego odpowiedź i ją przesłać, więc zautomatyzowani klienci mogą przejść weryfikację. Dotyczy to konfiguracji domyślnej, ponieważ funkcja audio powodująca osadzenie odpowiedzi jest domyślnie włączona.

Trasy udostępniające historię zgód i dane statystyczne nie sprawdzały, czy użytkownik backendu ma dostęp do modułu lub żądanej strony. Każdy uwierzytelniony użytkownik backendu, niezależnie od uprawnień, mógł pobrać dane zgód dowolnego serwisu w instalacji.

Podatność typu Cross-site Scripting (Stored XSS) w wtyczce Brizy wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy Brizy w wersji 2.8.23.

Podatność w funkcjonalności masowej konfiguracji portów może pozwolić nieuwierzytelnionemu atakującemu na zawieszenie usługi.

Podatność typu integer overflow w usłudze menedżera licencji może pozwolić nieuwierzytelnionemu atakującemu na zawieszenie usługi.

Podatność polegająca na dereferencji wskaźnika NULL w usłudze menedżera licencji może pozwolić nieuwierzytelnionemu atakującemu na zawieszenie usługi poprzez funkcję rpc_rx_fsm, gdy msglen ma wartość 0.

Podatność polegająca na dereferencji wskaźnika NULL w usłudze menedżera licencji może pozwolić nieuwierzytelnionemu atakującemu na zawieszenie usługi poprzez funkcję rpc_rx_fsm.

Podatność polegająca na dereferencji wskaźnika NULL w usłudze menedżera licencji może pozwolić nieuwierzytelnionemu atakującemu na zawieszenie usługi poprzez funkcję on_disconnected.

W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.

W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.

Możliwe jest przeprowadzenie ataku DOM-based Cross-Site Scripting na panel administracyjny Stormshield. Aby wykorzystać tę podatność, atakujący musi spreparować URL zawierający złośliwy ładunek skryptu w określonym parametrze i nakłonić uwierzytelnionego administratora do odwiedzenia tego linku.

Zniekształcony nagłówek w pliku binarnym przekazanym do funkcji QBinaryJson::fromBinaryData() może spowodować niezdefiniowane zachowanie z powodu odczytu poza granicami bufora.

Usługa RemoteUserStoreManagerService nieprawidłowo waliduje próby zmiany hasła, gdy włączona jest funkcja weryfikacji historii haseł. Pozwala to atakującemu na wielokrotne próby odgadnięcia hasła bez odpowiednich ograniczeń.

Wtyczka DiviGear Carousel dla WordPress jest podatna na Stored Cross-Site Scripting poprzez akcję AJAX update_license we wszystkich wersjach do 5.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty internetowe do stron.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Command Injection. Uwierzytelnieni zdalni atakujący mogą wstrzyknąć spreparowane polecenia do określonego parametru, a tym samym przesłać złośliwy kod na serwer.

ArmorX Spam firmy ArmorX Global Technology zawiera podatność Local File Inclusion. Uwierzytelnieni zdalni atakujący mogą wykorzystać path traversal, aby zmusić aplikację do dołączenia plików PHP spoza zamierzonego katalogu.

W wersjach LIFF SDK od 2.20.0 do 2.31.0 występuje podatność DOM-based cross-site scripting (XSS), która pozwala atakującemu na wykonanie dowolnego kodu JavaScript w origin aplikacji LIFF, gdy użytkownik otworzy spreparowany URL w zewnętrznej przeglądarce. Może to prowadzić do ujawnienia tokenów uwierzytelniających lub danych aplikacji, albo nieautoryzowanych działań w sesji użytkownika.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach przed 2.4.8, od 3.0.0 do 3.1.8 oraz od 4.0.0 do 4.2.2 funkcja fast-uri dekoduje procentowo komponent schematu za pomocą przestarzałej funkcji globalnej unescape() przed walidacją, co może prowadzić do przekształcenia nieaktywnego ciągu w wykonywalny URL javascript, data lub vbscript, tworząc wektor przechowywanego lub odbitego XSS. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

fast-uri to parser i serializator URI zgodny z RFC 3986 dla Node.js. W wersjach od 2.4.2 do 2.4.7, od 3.1.3 do 3.1.8 oraz od 4.0.1 do 4.2.2 funkcja canonicalizeHost() dla schematów HTTP przekazuje sparsowany host do parsera URL WHATWG i przyjmuje jego nazwę hosta bez sprawdzenia, czy parser zużył całe dane wejściowe jako host, co może prowadzić do cichego przepisania autorytetu. Może to pozwolić na obejście polityk opartych na hoście, takich jak listy blokad, filtrowanie loopback, walidacja przekierowań lub routing proxy. Luka jest naprawiona w wersjach 2.4.8, 3.1.9 i 4.2.3.

Wtyczka WordPress Easy Property Listings w wersjach przed 3.5.27 nie przeprowadza kontroli autoryzacji w kilku akcjach AJAX odczytu zarządzania kontaktami. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z rolą tak niską jak subskrybent odczytanie rekordów kontaktów i leadów CRM innych użytkowników, w tym prywatnych notatek aktywności.