Katalog podatności CVE

Podatność na wstrzyknięcie poleceń systemu operacyjnego w vsDesk pozwala uwierzytelnionemu atakującemu z uprawnieniami administracyjnymi na wykonanie dowolnych poleceń systemowych z powodu niewystarczającej filtracji wejścia.

F-RevoCRM zawiera podatność cross-site scripting. Jeśli użytkownik przegląda spreparowaną stronę będąc zalogowanym, mogą zostać wykonane niepożądane operacje.

W niektórych wersjach Octopus Server w określonych okolicznościach wrażliwe zmienne mogą być drukowane w postaci jawnego tekstu w migawce zmiennych wdrożenia.

Aplikacja generuje nazwy przesłanych plików w sposób słaby i przewidywalny, oparty na znaczniku czasu żądania. Zdalny atakujący może odgadnąć lub brutalnie wymusić nazwę pliku w krótkim czasie, uzyskać dostęp do przesłanych plików i ułatwić dalsze ataki.

Wtyczka Events Made Easy dla WordPressa do wersji 3.2.5 jest podatna na lokalne dołączanie plików (LFI) przez funkcję eme_single_event_page_template, co pozwala uwierzytelnionym atakującym z dostępem na poziomie contributora na dołączanie i wykonywanie dowolnych plików .php na serwerze.

Wtyczka JSON Options dla WordPressa do wersji 0.0.4 nie zawiera żadnej kontroli uprawnień ani weryfikacji nonce w jednej ze swoich akcji, która jest wykonywana przy każdym żądaniu i jest dostępna dla nieuwierzytelnionych użytkowników, umożliwiając im aktualizację dowolnych opcji WordPressa. Można to wykorzystać do włączenia rejestracji użytkowników i ustawienia domyślnej roli na administratora, co prowadzi do eskalacji uprawnień i całkowitego przejęcia strony.

Wtyczka Kirki WordPress przed wersją 6.2.3 nieprawidłowo waliduje pliki w archiwach przesyłanych przez użytkowników z rolą Editor i nie usuwa wszystkich niepożądanych plików po rozpakowaniu, co pozwala takim użytkownikom na przesyłanie dowolnych plików do katalogu dostępnego z sieci, prowadząc do Stored XSS oraz RCE na niektórych konfiguracjach serwera.

Wiele drukarek i skanerów SEIKO EPSON zawiera odwołane certyfikaty główne. Atak typu man-in-the-middle może pozwolić atakującemu na uzyskanie danych komunikacyjnych przesyłanych przez produkt. Szczegóły dotyczące dotkniętych produktów i wersji znajdują się w informacjach producenta.

Wtyczka GutenKit dla WordPressa przed wersją 2.5.0 nie posiada wystarczającej kontroli uprawnień na niektórych punktach końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na pobieranie metadanych odbiorców list mailingowych z połączonego konta marketingowego.

Wtyczka GutenKit WordPress przed wersją 2.5.0 nie sanityzuje przesłanych plików SVG na wszystkich ścieżkach przesyłania, co pozwala użytkownikom z możliwością przesyłania plików (np. Author) na przesłanie złośliwego SVG i przeprowadzenie ataków Stored Cross-Site Scripting na każdego użytkownika, który go otworzy, w tym administratorów.

Wtyczka Admin and Site Enhancements (ASE) WordPress przed wersją 9.0.1 nie sanityzuje przesłanych plików SVG na każdej ścieżce, przez którą je przyjmuje, co pozwala użytkownikom z rolą, której właściciel witryny przyznał uprawnienia do przesyłania, na przechowywanie pliku zawierającego JavaScript, który wykonuje się w przeglądarce każdego, kto go otworzy.

Wtyczka AI Agent by SiteGround dla WordPress jest podatna na obejście autoryzacji we wszystkich wersjach do 1.2.7 włącznie. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest autoryzowany do wykonania akcji, co umożliwia nieuwierzytelnionym atakującym przesyłanie obrazów do biblioteki multimediów WordPress, omijając ograniczenie upload_files, któremu zwykle podlegają Contributorzy. Uwierzytelnieni atakujący z dostępem na poziomie Contributor lub wyższym mogą spełnić wymagania nonce i uprawnień endpointu.

Wtyczka Depicter — Popup & Slider Builder dla WordPressa przed wersją 4.8.0 nie waliduje typu pliku przesyłanego przez funkcję importu i nie usuwa nieprawidłowego przesyłania, co pozwala użytkownikom z dostępem na poziomie edytora na zapis dowolnego pliku (w tym wykonywalnego PHP) w katalogu dostępnym z sieci, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.

W libexpat przed wersją 2.8.4 brakuje śledzenia głębokości wywołań handlerów z niestandardowymi callbackami kodowania. Może to prowadzić do użycia po zwolnieniu (use-after-free). Podobne podatności to CVE-2026-50219, CVE-2026-56131 i CVE-2026-56412.

W bibliotece libexpat w wersjach 2.8.2 i 2.8.3 przed 2.8.4 błędna interpretacja kodu zwrotnego funkcji getentropy prowadzi do niewystarczającej entropii, co czyni system podatnym na ataki typu hash flooding, powodujące odmowę usługi poprzez spreparowane treści XML.

To CVE zostało odrzucone przez Red Hat Product Security jako fałszywe ze względu na politykę bezpieczeństwa upstream. Nie stanowi rzeczywistej podatności.

W DeDeCMS 3 znaleziono podatność w nieznanej funkcji pliku /include/dialog/select_media_post.php. Manipulacja argumentem uploadfile prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.

W systemie Login Registration System 1.0 firmy code-projects zidentyfikowano słabość w nieznanej funkcji pliku /loginsystem/database/login_registration_system.sql komponentu SQL Database Backup Handler. Manipulacja powoduje dostęp do plików lub katalogów. Atak może być inicjowany zdalnie. Exploit został udostępniony publicznie i może być wykorzystany.

W PullMD 3.2.0 firmy AeternaLabsHQ znaleziono podatność w nieznanej funkcji pliku /api komponentu REST API Endpoint. Manipulacja argumentem url prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Publicznie ujawniono exploit. Aktualizacja do wersji 3.3.0 naprawia problem.