Katalog podatności CVE

Ghost od wersji 0.7.2 do 6.64.0 zawiera podatność ujawniania informacji w API administracyjnym, która pozwala użytkownikom na poziomie personelu określić względną kolejność hashy haseł innych pracowników. Uwierzytelnieni pracownicy mogą zapytać API administracyjne, aby wywnioskować kolejność hashy, chociaż nie ujawnia to bezpośrednio hashy ani nie umożliwia praktycznego odzyskania haseł.

Wtyczka Otter Blocks dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.2.6 włącznie przez parametr 'otter_form_widget_filter'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wyodrębnienie adresów e-mail pięciu ostatnich osób przesyłających formularze, dat ich przesłania oraz całkowitej liczby przesłanych formularzy na stronie.

Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.

KaTeX, biblioteka JavaScript do renderowania matematyki TeX, od wersji 0.11.0 do 0.18.2 używa zwykłego dostępu do właściwości JavaScript dla obiektu opcji renderera, ustawienia trust, metadanych procesora i wyszukiwania przestrzeni nazw. Pozwala to na traktowanie odziedziczonych właściwości jako jawnie podanych wartości. Jeśli Object.prototype jest już zanieczyszczony lub atakujący kontroluje prototyp obiektu opcji, złośliwe wyrażenia matematyczne mogą użyć odziedziczonej wartości trust do włączenia zaufanego renderowania i tworzenia linków umożliwiających cross-site scripting lub ładowanie zewnętrznych zasobów w aplikacji, która wstawia nieprzefiltrowane dane wyjściowe KaTeX. Problem naprawiono w wersji 0.18.2.

HCL BigFix Service Management jest dotknięty podatnością ujawniania informacji, ponieważ aplikacja zwraca wrażliwe informacje w komunikatach błędów, gdy nieprawidłowe dane wejściowe są wysyłane do niektórych punktów końcowych API. Informacje te mogą umożliwić atakującemu przeprowadzenie dalszych ataków.

HCL AION nie konfiguruje nagłówka odpowiedzi HTTP Content-Security-Policy (CSP). CSP pomaga zapobiegać atakom takim jak Cross-Site Scripting (XSS) poprzez ograniczenie źródeł, z których mogą być ładowane skrypty, style i inne zasoby. Brak tego nagłówka może zmniejszyć skuteczność zabezpieczeń przeglądarki, potencjalnie prowadząc do niepożądanego zachowania lub negatywnych skutków bezpieczeństwa w określonych warunkach.

Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.

HCL BigFix Service Management jest dotknięty podatnością związaną z niebezpieczną konfiguracją atrybutów ciasteczek, która może pozwolić atakującemu na wykorzystanie brakujących atrybutów bezpieczeństwa, takich jak SameSite, HttpOnly, Secure i restrykcyjne ścieżki. Umożliwia to ataki Cross-Site Request Forgery (CSRF), przejęcie sesji przez Cross-Site Scripting (XSS) oraz nieautoryzowany dostęp.

iControl jest dotknięty podatnością związaną z limitem czasu sesji, która może pozwolić atakującemu na wykorzystanie nieobsługiwanej lub porzuconej aktywnej sesji, umożliwiając nieautoryzowany dostęp do aplikacji i wykonywanie działań w imieniu ofiary.

iControl jest dotknięty podatnością związaną z brakującym atrybutem bezpieczeństwa, która może pozwolić atakującemu na przechwycenie ciasteczek przesyłanych przez niezaszyfrowane połączenia HTTP, umożliwiając nieautoryzowane wyodrębnienie wrażliwych informacji, takich jak identyfikatory sesji.

iControl jest dotknięty podatnością związaną z nieprawidłową obsługą błędów, która może pozwolić nieuwierzytelnionemu atakującemu na wywołanie szczegółowych błędów bazy danych i systemu, umożliwiając ujawnienie wrażliwych szczegółów infrastruktury wewnętrznej wykorzystywanych do planowania zaawansowanych ataków.

Ghost w wersjach od 6.14.0 do przed 6.27.0 zawiera podatność path traversal w usłudze ImageSize. Niewystarczająca walidacja ścieżek plików dostarczanych przez użytkownika może pozwolić uwierzytelnionym użytkownikom personelu na dostęp do plików lokalnych poza zamierzonymi katalogami przechowywania danych na serwerze.

Ghost w wersjach od 1.18.0 do przed 6.27.0 zawiera podatność server-side request forgery (SSRF) w funkcji webhooków, która pozwala użytkownikom personelu na sondowanie wewnętrznych hostów. Atakujący z uprawnieniami personelu może tworzyć żądania webhooków w celu dostępu do zasobów sieci wewnętrznej z serwera Ghost.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.

Wtyczka WordPress If-So Dynamic Content przed wersją 1.10.2 nie sanityzuje nazwy konwersji przed zapisaniem, ani nie escapuje jej podczas renderowania strony analitycznej, co pozwala użytkownikom z uprawnieniami edytora na zapisanie JavaScriptu, który wykona się w sesji użytkownika o wyższych uprawnieniach przeglądającego tę stronę.

W Genian SSL PNS występuje podatność nieograniczonego przesyłania plików spowodowana niewystarczającą weryfikacją rozszerzenia pliku i integralności. Pozwala ona atakującemu na przesłanie niebezpiecznego pliku, który nie jest oficjalną poprawką.

BlueALSA (bluez-alsa/bluealsad) zawiera podatność dzielenia przez zero w dekoderze LC3plus sink (a2dp-lc3plus.c, a2dp_lc3plus_dec_thread). Atakujący w zasięgu Bluetooth może spowodować awarię demona, wysyłając spreparowany nagłówek mediów RTP z polem liczby ramek ustawionym na zero. Atakujący może nawiązać połączenie A2DP source z sesją LC3plus wynegocjowaną przeciwko ofierze uruchamiającej bluealsad jako A2DP sink i przesłać niefragmentowany nagłówek mediów LC3plus z zerową liczbą ramek, wywołując SIGFPE w wątku dekodującym, co powoduje odmowę usługi w kompilacjach z włączoną obsługą LC3plus.

Nieprawidłowa neutralizacja tagów HTML związanych ze skryptami w rozszerzeniu MediaWiki MediaSearch pozwala na ataki Cross-Site Scripting (XSS). Problem dotyczy wersji 1.46, 1.45 i 1.43 rozszerzenia.

Nieprawidłowa neutralizacja tagów HTML związanych ze skryptami w rozszerzeniu MediaWiki CommonsMetadata pozwala na ataki Cross-Site Scripting (XSS). Problem dotyczy wersji 1.46, 1.45 i 1.43 rozszerzenia.

Uwierzytelniony administrator na węźle z aktywną opcjonalną, osobno licencjonowaną rolą gateway mógł podać adres URL konektora, który serwer pobierał bez wystarczającej walidacji schematu lub miejsca docelowego. W rezultacie serwer wysyłał żądania do wewnętrznych usług sieciowych. Wykorzystanie wymaga aktywnej, licencjonowanej roli gateway.