Katalog podatności CVE

Wtyczka WordPress Baggage Freight Shipping Australia w wersji 0.1.0 zawiera podatność na nieograniczone przesyłanie plików, co pozwala nieautoryzowanym atakującym na przesyłanie dowolnych plików poprzez wykorzystanie punktu końcowego upload-package.php. Atakujący mogą wysyłać żądania POST z złośliwymi rozszerzeniami plików, co umożliwia zdalne wykonanie kodu.

Responsive FileManager pozwala nieautoryzowanemu atakującemu na przesyłanie plików dowolnego typu i rozszerzenia bez ograniczeń za pomocą punktu końcowego dialog.php, co prowadzi do zdalnego wykonania kodu.

Podatność CVE-2026-49757 dotyczy obejścia uwierzytelniania w AshAuthentication, które pozwala na przejęcie kont lokalnych użytkowników poprzez logowanie za pomocą OAuth2/OIDC. Problem wynika z używania adresu e-mail jako unikalnego identyfikatora zamiast kombinacji iss/sub z OpenID Connect.

Wtyczka WordPress WP MAPS PRO przed wersją 6.1.1 rejestruje nieuwierzytelnioną akcję AJAX, która – mając ważny nonce publicznie emitowany na każdej stronie frontendu korzystającej ze skryptu mapy – bezwarunkowo tworzy konto administratora i zwraca magiczny link logowania, dający interaktywny dostęp administracyjny.

Biblioteka GD dla Perla przed wersją 2.86 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego i nadpisywanie plików w funkcji _make_filehandle. Funkcja ta otwiera argument będący nazwą pliku za pomocą dwuargumentowej funkcji open() Perla, która interpretuje prefiksy takie jak '| cmd' jako potok, co pozwala na wykonanie dowolnych poleceń lub nadpisanie plików.

Nefteprodukttekhnika BUK TS-G Gas Station Automation System w wersjach 2.9.1 do 2.10.2 na Linux zawiera podatność na nieprawidłowe uwierzytelnianie (CWE-287) w module konfiguracji systemu.

Model Context Protocol (MCP) przed wersją 0.25.0 nie umożliwiał walidacji nagłówka Origin w celu zapobiegania atakom DNS rebinding. W wersji 0.25.0 dodano flagę --allowed-hosts, która domyślnie ustawiona na '*' ostrzega o potencjalnych podatnościach.

Podatność mutacji stanu w OpenClaw przed 2026.5.27 w logice ponownego łączenia sparowanych węzłów. Atakujący może wykorzystać logikę ponownego łączenia, aby przywrócić lub przedstawić szerszy zakres uprawnień węzła niż zamierzony, potencjalnie omijając ograniczenia zatwierdzania.

ApostropheCMS to system zarządzania treścią oparty na Node.js, który w wersjach do 4.30.0 pozwala na nieautoryzowane modyfikacje prototypu obiektów przez uwierzytelnionych edytorów. Wykorzystanie operatora `$pullAll` umożliwia zapis dowolnych wartości do `Object.prototype`, co prowadzi do obejścia autoryzacji na wszystkich punktach końcowych REST API.

Nezha Monitoring przed wersją 2.0.13 ma lukę w obsłudze NoRoute w dashboardzie, która pozwala na dostęp do zasobów administracyjnych bez autoryzacji. Wykorzystując nieprawidłowe sprawdzenie prefiksu URL, atakujący może uzyskać dostęp do plików systemowych.

Nezha Monitoring w wersjach od 1.4.0 do przed 2.0.8 pozwala użytkownikom z rolą RoleMember na tworzenie zaplanowanych zadań cron, które mogą wykonywać dowolne polecenia na serwerach, w tym na serwerach należących do innych użytkowników. To stwarza ryzyko nieautoryzowanego dostępu do systemów.

Strona internetowa zawierająca nietypową zawartość WebGPU może załadować ją do procesu renderowania GPU GLES, co prowadzi do zapisu poza granicami pamięci w sterowniku użytkownika GPU. Może to skutkować uszkodzeniem pamięci oraz awarią przeglądarki lub procesu GPU.

Podatność w bibliotece sanitize-html (wersje przed 2.17.4) w domyślnej konfiguracji pozwala na ominięcie sanitacji i wstrzyknięcie kodu HTML/JavaScript przez element <xmp>. Może to prowadzić do trwałego XSS w aplikacjach renderujących oczyszczone dane.

Urządzenia Naxclow wykorzystują jednolity schemat podpisywania żądań oparty na wbudowanej w każdym obrazie oprogramowania soli. Po odzyskaniu tej soli z dowolnego urządzenia, atakujący może generować ważne podpisy dla dowolnych operacji urządzenia lub konta, co prowadzi do możliwości fałszowania żądań i podszywania się pod użytkowników.

Podatność w MariaDB (wersje 3.3.18 i 3.4.8) umożliwiająca wstrzyknięcie SQL pomimo użycia mysql_real_escape_string() z zestawem znaków big5. Naprawione w wersjach 3.3.19 i 3.4.9.

Podatność w MariaDB na Windows z zainstalowanym silnikiem CONNECT i włączoną obsługą REST pozwala na wstrzyknięcie atrybutu HTTP tabeli do linii poleceń curl bez odpowiedniego oczyszczania. Umożliwia to użytkownikowi wykonanie dowolnych poleceń systemowych na serwerze.

Aplikacja Aqara Home na Androida (wersja 6.0.0) oraz klienci white-label używający tej samej biblioteki liblumidevsdk.so zawierają zakodowane na stałe klucze kryptograficzne. Jest to naruszenie zasady CWE-321 i umożliwia atakującemu zdalne przejęcie poufnych danych oraz ich modyfikację bez uwierzytelnienia.

Punkt końcowy autoryzacji OAuth w chmurze Aqara (open-cn.aqara.com/oauth/authorize) jest podatny na obejście przekierowania z powodu luźnych kontroli dopasowania domeny. Jest to przykład CWE-1289: Nieprawidłowa walidacja niebezpiecznej równoważności w danych wejściowych.

Brama IAM/SSO Aqara (gw-builder.aqara.com) udostępnia nieuwierzytelniony dwukierunkowy dostęp AES do klucza podpisywania platformy. Jest to brak uwierzytelnienia dla krytycznej funkcji oraz użycie ryzykownego algorytmu kryptograficznego.