Katalog podatności CVE

MyBB przed wersją 1.8.40 w module kalendarza nie waliduje uprawnień moderacji dla docelowego kalendarza podczas przenoszenia wydarzeń. Użytkownik z uprawnieniami moderacji dla źródłowego kalendarza może przenieść wydarzenie do kalendarza, gdzie ma tylko uprawnienia do przeglądania, ponieważ akcja do_move w calendar.php nie sprawdza canmoderateevents dla docelowego kalendarza.

Przed wersją 1.8.40 moduł kalendarza w MyBB nie sprawdza spójnie uprawnień przy wyświetlaniu kalendarzy, co pozwala uwierzytelnionym użytkownikom na dostęp do tytułów kalendarzy, które są w inny sposób niedostępne. Ścieżki wyboru kalendarza w calendar.php wykonują sprawdzenia uprawnień względem nieprawidłowego kontekstu kalendarza przed zwróceniem tytułów. Problem został naprawiony w wersji 1.8.40.

Przed wersją 1.8.40 moduł kalendarza w MyBB nie weryfikuje spójnie statusu prywatnych wydarzeń, co pozwala użytkownikom z uprawnieniami do przeglądania i moderacji na dostęp i moderowanie prywatnych wydarzeń. Sprawdzenie prywatnych wydarzeń używane przez get_events() w inc/functions_calendar.php oraz akcja wydarzenia brakuje w pozostałych akcjach calendar.php, mimo zachowania ograniczonego dostępu opisanego w inc/languages/english/calendar.lang.php. Problem został naprawiony w wersji 1.8.40.

Przed wersją 1.8.40 moduł konwersji UTF-8 w Admin CP w MyBB nie waliduje poprawnie niektórych żądań, co pozwala atakującym z tej samej witryny na zmianę kodowania tabel i odmowę usługi za pomocą specjalnie spreparowanego URL. Przepływ sterowania do=all w admin/modules/tools/system_health.php wykonuje operacje ALTER TABLE, fazy przepisywania kolumn i odbudowy indeksów pełnotekstowych na żądaniach GET dla tabeli bazy danych wskazanej parametrem table bez weryfikacji żądania. Problem został naprawiony w wersji 1.8.40.

MyBB przed wersją 1.8.40 zawiera podatność w module Contact, która nie waliduje poprawnie adresu URL przekierowania, co prowadzi do otwartego przekierowania i wstrzyknięcia kodu JavaScript.

MyBB od wersji 1.8.13 do 1.8.40 zawiera podatność w module instalatora, która nieprawidłowo escapuje wartości konfiguracyjne bazy danych, co prowadzi do wstrzyknięcia kodu PHP i zdalnego wykonania kodu.

MyBB przed wersją 1.8.40 zawiera podatność na przechowywane wstrzykiwanie kodu JavaScript w polach profilu typu checkbox i multiselect. Walidacja pól profilu nie obsługuje poprawnie wartości niebędących tablicami, co pozwala na zapisanie złośliwego kodu, który jest następnie renderowany bez przetworzenia przez parser MyCode.

MyBB przed wersją 1.8.40 zawiera podatność na wstrzykiwanie kodu JavaScript przez specjalnie spreparowaną nazwę użytkownika w komponencie Buddy/Ignore. Nazwy użytkowników nie są poprawnie sanityzowane, co pozwala na pozostawienie nieucieczonych pojedynczych cudzysłowów, które mogą być wykorzystane do wykonania skryptu.

Funkcjonalność eksportu CSV w Brainstorm Force SureForms w wersjach do 2.12.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w nazwach pól formularza kontrolowanych przez użytkownika przed wygenerowaniem eksportu CSV, co pozwala zdalnemu atakującemu na wykonanie formuł arkusza kalkulacyjnego na stacji roboczej administratora, gdy wyeksportowany plik CSV zostanie otwarty w podatnej aplikacji arkusza kalkulacyjnego.

Komponent Entries w Brainstorm Force SureForms w wersji mniejszej niż 2.12.3 nie egzekwuje odpowiednich limitów na pola formularza kontrolowane przez użytkownika ani na przesyłaną treść podczas przetwarzania i renderowania. Pozwala to zdalnemu atakującemu wyczerpać zasoby serwera, uniemożliwić administratorom dostęp do interfejsu Entries i wywołać błędy HTTP 500 poprzez spreparowane przesyłanie formularzy.

Klasa HTTPPasswordMgr w module urllib.request oraz jej podklasy nie uwzględniały schematu URL przy dopasowywaniu zapisanych poświadczeń do żądanego adresu URL. Poświadczenia dodane dla https:// były używane również dla http://, co umożliwiało przechwycenie ich w postaci jawnego tekstu.

AAP Controller's HashiCorp Vault credential plugin zawiera podatność, która wysyła token konta serwisowego Kubernetes do adresu URL kontrolowanego przez atakującego podczas testowania poświadczeń Vault z uwierzytelnianiem kubernetes_role.

RAGFlow przed wersją 0.26.3 zawiera podatność na atak SSRF (Server-Side Request Forgery) w komponencie Invoke w workflow agenta. Komponent buduje URL żądania z konfiguracji canvas i zmiennych szablonu, a następnie przekazuje go do requests.get/post/put bez walidacji bezpieczeństwa adresu, co pozwala na dostęp do wewnętrznych zasobów sieciowych.

Ten identyfikator CVE został odrzucony, ponieważ jest duplikatem CVE-2026-50236. Zarezerwowano go błędnie dla zgłoszenia, które już miało przypisany istniejący CVE.

Wstrzyknięcie HTML w publicznym formularzu subskrypcji w maalfer MailerUp przed wersją 1.1.3 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie wysłania przez aplikację wiadomości zawierającej dowolny HTML na adres wybrany przez atakującego i z tożsamości nadawcy skonfigurowanej przez właściciela formularza, poprzez pole first_name żądania subskrypcji, które jest interpolowane bez escapowania do e-maila weryfikacyjnego double opt-in.

TRENDnet TEW-WLC100 w wersji 1v2.07b01 zawiera podatność na przepełnienie bufora w funkcji FUN_0040da4c w pliku /usr/nginx/sbin/nginx, w komponencie HTTP Header Handler. Manipulacja argumentem Server może prowadzić do zdalnego ataku.

W BlueZ stwierdzono błąd polegający na niewystarczającej walidacji pól długości pakietów w odpowiedziach GetFolderItems w implementacji profilu Audio/Video Remote Control (AVRCP), co pozwala złośliwemu urządzeniu Bluetooth w zasięgu na spowodowanie odczytu poza zakresem pamięci. Ta podatność, dotycząca funkcji parse_media_element() i parse_media_folder(), może prowadzić do awarii demona bluetoothd, powodując odmowę usługi (DoS). Może również potencjalnie ujawnić zawartość wrażliwej pamięci sterty. Wykorzystanie wymaga interakcji użytkownika w celu sparowania ze złośliwym urządzeniem.

Nieuwierzytelniona podatność SQL Injection w wtyczce Readabler w wersjach przed 2.0.18. Atakujący bez logowania może wstrzykiwać zapytania SQL.

Podatność w TaxoPress (do wersji 3.51.0) polega na deserializacji niezaufanych danych, co umożliwia wstrzyknięcie obiektów (Object Injection).

Nieuwierzytelnione Niebezpieczne Bezpośrednie Odwołania do Obiektów (IDOR) w Razorpay for WooCommerce w wersjach <= 4.8.7.