Katalog podatności CVE

better-npm-audit do wersji 3.11.0 oraz wersja 4.0.0-rc.2 buduje polecenie npm audit, interpolując opcję --registry dostarczoną przez użytkownika do ciągu poleceń w src/handlers/handleInput.ts bez walidacji lub cytowania, a następnie przekazuje ten ciąg do child_process.exec() w index.ts, który uruchamia powłokę. Wartość rejestru zawierająca metaznaki powłoki, takie jak średnik, potok lub podstawienie poleceń, wykonuje dowolne polecenia systemu operacyjnego z uprawnieniami procesu uruchamiającego audyt.

AVideo do commitu 9c39d8c8 zawiera podatność na cross-site request forgery w channelToGallery.json.php, która pozwala atakującym modyfikować konfigurację Galerii na poziomie całej witryny poprzez nieautoryzowane zapisy do danych wtyczki. Atakujący mogą stworzyć żądanie GET z ciasteczkiem sesji administratora, aby promować dowolne kanały na stronę główną lub usuwać wybrane sekcje bez walidacji tokena.

AVideo do commitu 9c39d8c8 zawiera podatność na ujawnienie informacji w feed/index.php, która pozwala nieuwierzytelnionym atakującym na pobranie adresów e-mail właścicieli kanałów poprzez podanie publicznej nazwy kanału. Atakujący mogą enumerować wszystkie adresy e-mail twórców, iterując po publicznych nazwach kanałów i wyciągając je z elementów RSS itunes:email i itunes:author, co umożliwia próby przejęcia kont i kampanie phishingowe.

Wtyczka Post Duplicator dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji `duplicate_post()` we wszystkich wersjach do 3.0.11 włącznie. Funkcja nie weryfikuje, czy użytkownik ma uprawnienie `edit_others_posts` przed przyjęciem parametru `selectedAuthorId` przez punkt końcowy REST `duplicate-post`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie zduplikowanych postów przypisanych do dowolnego użytkownika, w tym administratorów.

To CVE zostało odrzucone lub wycofane przez jego CVE Numbering Authority.

To CVE zostało odrzucone lub wycofane przez jego CVE Numbering Authority.

Zidentyfikowano słabość w TRENDnet TEW-823DRU 1.1.02b01. Podatność dotyczy funkcji nvram_get komponentu CLI Configuration Tool. Ta manipulacja powoduje wstrzyknięcie komend. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być użyty do ataków.

Rozszerzenie Joomla - joomgalleryfriends.net - Stored XSS w JoomGallery < 4.4.0 - Uwierzytelniony użytkownik z uprawnieniami może przechowywać ładunek XSS w dowolnym obrazie, powodując wykonanie JavaScript w przeglądarce każdego odwiedzającego.

Rozszerzenie Joomla - joomgalleryfriends.net - Obejście kategorii chronionej hasłem przez format JSON w JoomGallery < 4.4.0 - Istnieje nieuwierzytelnione obejście kontroli dostępu w widoku JSON kategorii JoomGallery. Gdy kategoria galerii jest chroniona hasłem, widok HTML poprawnie egzekwuje bramkę hasła - ale widok JSON (format=json) całkowicie pomija to sprawdzenie.

Wtyczka Post Duplicator dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 3.0.11 włącznie. Wynika to z faktu, że funkcja zwrotna `duplicate_post_permissions()` sprawdza tylko uprawnienie `duplicate_posts` bez weryfikacji, czy użytkownik posiada uprawnienia `publish_posts` lub inne ograniczone statusem. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej tworzenie zduplikowanych postów ze statusem `future` (zaplanowane, automatycznie publikowane) lub `private`, omijając przegląd redakcyjny. Dodatkowo punkt końcowy REST nie egzekwuje ograniczeń duplikacji typów postów skonfigurowanych przez administratora, umożliwiając duplikację typów postów, które zostały jawnie wyłączone.

Wtyczka The kk Star Ratings – Rate Post & Collect User Feedbacks dla WordPressa jest podatna na arbitralne wykonanie shortcode'ów we wszystkich wersjach do 5.4.10.3 włącznie. Wynika to z faktu, że oprogramowanie pozwala użytkownikom na wykonanie akcji, która nie waliduje poprawnie wartości 'payload' przed uruchomieniem do_shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.

W urządzeniu TRENDnet TEW-821DAP w wersji 2.2.01b05 znaleziono podatność w funkcji uci_safe_get pliku /cgi-bin/apply_time.cgi komponentu obsługi konfiguracji strefy czasowej NTP. Manipulacja argumentami system.ntp.server, system.ntp.enable_server, cameo.time.time_zone oraz cameo.cameo.syslog_server prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W urządzeniu TRENDnet TEW-821DAP w wersji 2.2.01b05 znaleziono podatność w nieznanej funkcji pliku /cgi-bin/upload.cgi komponentu ssi. Manipulacja argumentem filename prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka Mailgun dla WordPressa do wersji 2.2.0 jest podatna na Server-Side Request Forgery (SSRF) poprzez path traversal. Wynika to z niewystarczającej walidacji danych wejściowych w funkcji add_list(), która przyjmuje kontrolowane przez użytkownika klucze tablicy z $_POST['addresses'] i przekazuje je przez sanitize_text_field(). Umożliwia to nieuwierzytelnionym atakującym wykonywanie uwierzytelnionych żądań POST do dowolnego punktu końcowego API Mailgun przy użyciu klucza API witryny, w tym tworzenie tras przekazywania przychodzących e-maili, które mogą przechwytywać e-maile resetujące hasło, prowadząc do przejęcia konta administratora.

W Google Cloud Application Integration (wersje od 2025-04-28 do 2026-04-04) znaleziono podatność braku autoryzacji w QueryEngineTask, która pozwala zewnętrznemu atakującemu na dostęp do wrażliwych danych wewnętrznych. Problem został naprawiony 4 kwietnia 2026 roku; nie jest wymagane działanie ze strony klienta.

Wtyczka SmilePass Selfie Login dla WordPressa do wersji 1.0.2 nie przeprowadza żadnej weryfikacji tożsamości po stronie serwera, co pozwala nieuwierzytelnionym użytkownikom zalogować się jako dowolne zarejestrowane konto, w tym administratorzy.

Wtyczka Social Login & Sharing buttons with Analytics By SoClever dla WordPressa do wersji 1.2.0 nie przeprowadza żadnych kontroli uwierzytelniania, autoryzacji ani nonce w jednym z publicznie dostępnych handlerów logowania, co pozwala nieuwierzytelnionym atakującym uzyskać ważną sesję jako dowolny istniejący użytkownik, w tym administratorzy. W domyślnym przypadku uzyskują sesję jako oryginalne konto administratora bez znajomości jakichkolwiek danych konta.

Wtyczka WP Social Media Login dla WordPressa do wersji 1.0.6 nie weryfikuje, czy logowanie społecznościowe zostało faktycznie zakończone u dostawcy tożsamości przed uwierzytelnieniem odwiedzającego, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny istniejący użytkownik, w tym administratorzy, poprzez podanie adresu e-mail tego użytkownika.

Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Wtyczka Slider Hero with Video Background, Animation dla WordPressa przed wersją 9.1.3 nie posiada kontroli autoryzacji i nonce w dwóch swoich handlerach żądań oraz nie escapuje zapisanej opcji przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie złośliwego JavaScriptu, który będzie wykonany w kontekście administratora przeglądającego panel administracyjny wtyczki, a także każdego odwiedzającego stronę z osadzonym sliderem.