Katalog podatności CVE

W EspoCRM przed wersją 9.3.7 użytkownik o niskich uprawnieniach mający dostęp do współdzielonej listy TargetList może wywołać akcje opt-out lub cancel-opt-out dla chronionego Kontaktu lub Leada, którego nie może odczytać ani edytować. Usługa weryfikuje dostęp do listy docelowej, ale pobiera rekord docelowy bez wymaganej autoryzacji, co pozwala na nieautoryzowaną zmianę stanu opted_out.

W EspoCRM przed wersją 9.3.7 użytkownik portalu z dostępem do strumienia rekordu nadrzędnego może bezpośrednio pobrać notatkę przez portalowe API Note i odczytać wewnętrzną notatkę strumienia, jeśli zna jej identyfikator. Lista strumienia poprawnie ukrywa notatki z isInternal=true, ale bezpośredni dostęp do pojedynczej notatki nie egzekwuje tego ograniczenia, ujawniając wewnętrzne treści agentów.

W EspoCRM przed wersją 9.3.7 uwierzytelniony użytkownik z dostępem do zakresu Import może wysłać żądanie POST /api/v1/Import/{id}/exportErrors z identyfikatorem importu innego użytkownika i uzyskać identyfikator załącznika do pliku CSV zawierającego wiersze z tego importu. Punkt końcowy sprawdza zakres, ale pomija kontrolę własności na poziomie encji wymaganą przez Import AccessChecker i inne punkty końcowe Import.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 szablony zawartości miesiąca w komponentach Calendar i MultiViewCalendar renderują data.url i data.title bez odpowiedniej sanityzacji URL i kodowania atrybutów HTML. Atakujący o niskich uprawnieniach kontrolujący opcję URL lub wartości tytułu pochodzące z kultury może dostarczyć adres URL JavaScript lub wstrzyknąć atrybuty obsługi zdarzeń. Gdy użytkownik wchodzi w interakcję z kalendarzem, JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery od wersji 2012.2.710 do wersji przed 2026.3.1015 komponent Validator dekoduje komunikaty walidacyjne z atrybutów data-msg-* i parsuje wynikowy tekst jako HTML. Atakujący mogący zmodyfikować komunikat walidacyjny może spowodować, że poprawnie escapowany HTML w atrybucie strony stanie się aktywnym znacznikiem, w tym obsługą zdarzeń, gdy użytkownik wywoła walidację. Udana eksploatacja może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty Splitter i Window (od wersji 2011.2.804) oraz Tooltip (od wersji 2013.1.319) konstruują znaczniki iframe bez odpowiedniej sanityzacji wartości URL i kodowania tytułu iframe w Window. Atakujący o niskich uprawnieniach kontrolujący te wartości może wstrzyknąć atrybuty HTML, w tym obsługę zdarzeń JavaScript, poprzez apostrof w adresie URL iframe lub spreparowany tytuł. Gdy użytkownik wchodzi w interakcję z komponentem, wstrzyknięty JavaScript może zostać wykonany w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponent Menu konstruuje atrybuty HTML z pól dataSource poprzez konkatenację ciągów bez odpowiedniej neutralizacji. Atakujący o niskich uprawnieniach kontrolujący te pola może wstrzyknąć atrybuty obsługi zdarzeń JavaScript, które wykonają się, gdy użytkownik wchodzi w interakcję z komponentem Menu, zagrażając poufności i integralności danych dostępnych w kontekście przeglądarki użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od v2023.1.117 do wersji przed v2026.3.1015 komponenty FileBrowser i ImageBrowser renderują zdalnie dostarczone nazwy plików i katalogów jako HTML bez właściwego kodowania. Nazwa kontrolowana przez atakującego zawierająca HTML powiązany ze skryptami może wykonać JavaScript w przeglądarce użytkownika.

W Progress® Kendo® UI for jQuery w wersjach od 2023.3.1010 do wersji przed 2026.3.1015 komponent FileManager renderuje zdalnie dostarczone nazwy elementów jako HTML w domyślnej podpowiedzi przeciągania, mimo że odpowiadające im elementy listy są kodowane. Atakujący kontrolujący nazwę elementu może wstrzyknąć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas przeciągania dotkniętego elementu.

W Progress® Kendo® UI for jQuery w wersjach od v2020.1.114 do wersji przed 2026.3.1015 metoda Badge text renderuje wartości tekstowe jako surowy HTML bez kodowania, w tym wartości dostarczone przez powiązanie text. Atakujący mogący zmodyfikować dane powiązane z Badge może dostarczyć HTML z obsługą zdarzeń, który wykona JavaScript w przeglądarce użytkownika podczas renderowania wartości.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 metoda Model.accept przekazuje klucze odpowiedzi serwera do kendo.setter bez zabezpieczenia przed niebezpiecznymi ścieżkami obiektów zawierającymi __proto__, constructor lub prototype. Atakujący mogący dostarczyć dane akceptowane przez dotknięty model może modyfikować atrybuty prototypu obiektu i wpływać na zachowanie aplikacji.

W Progress® Kendo® UI for jQuery w wersjach od 2022.3.1109 do wersji przed 2026.3.1015 adresy URL przycisków ButtonGroup w ToolBar są łączone w niecytowany atrybut href po sanityzacji URL. Atakujący kontrolujący URL przycisku może dostarczyć dozwolony adres HTTPS zawierający białe znaki i dodatkowe atrybuty, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z przyciskiem.

W Progress® Kendo® UI for jQuery w wersji v2026.3.811 i wcześniejszych widoki Scheduler Day, Timeline, Month i Agenda wstawiają wartości kolorów zasobów do cytowanych atrybutów otoczki zdarzenia bez właściwego kodowania. Atakujący kontrolujący kolor zasobu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym zdarzeniem.

W Progress® Kendo® UI for jQuery w wersjach od 2019.2.514 do wersji przed 2026.3.1015 komponent PanelBar wstawia wartości URL elementów źródła danych do atrybutu href w pojedynczych cudzysłowach bez właściwego kodowania. Atakujący kontrolujący URL elementu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas interakcji z dotkniętym elementem.

W Progress® Kendo® UI for jQuery przed wersją 2026.3.1015 komponenty TabStrip, Menu i PanelBar wstawiają wartości imageUrl ze źródła danych do atrybutów src obrazu w pojedynczych cudzysłowach bez właściwego escapowania. Atakujący mogący zmodyfikować URL obrazu może wstrzyknąć dodatkowe atrybuty HTML, w tym obsługę zdarzeń, i wykonać JavaScript w przeglądarce użytkownika podczas renderowania obrazu przez dotknięty komponent.

W Progress® Kendo® UI for jQuery od wydania R1 2020 do wersji przed 2026.3.1015 domyślny szablon elementu ListBox renderuje wartość dataTextField jako surowy HTML bez kodowania. Atakujący mogący modyfikować powiązane dane może dostarczyć HTML z obsługą zdarzeń wykonującą JavaScript w przeglądarce użytkownika. Podatność naprawiono w wersji 2026.3.1015.

Podatność typu niekompletna lista niedozwolonych danych wejściowych (CWE-184) w PeaZip 10.5.0–11.2.0 na Windows dotyczy potwierdzenia uruchomienia niebezpiecznych rozszerzeń w przeglądarce archiwów. Lista SECEXTCONST zawiera tylko siedem rozszerzeń (exe, cmd, msi, bat, ps1, vbs, reg), a sprawdzenie polega na dokładnym porównaniu ciągu znaków, przez co pomija inne typy plików wykonywanych przez ShellExecuteW, m.in. .url i .lnk. W efekcie otwarcie spreparowanego wpisu w archiwum może uruchomić program lub dowolne polecenie bez okna potwierdzenia.

Wtyczka WordPress User Registration (ThemeGrill) w wersjach od n/a do 5.2.8 jest podatna na Stored Cross-site Scripting z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt zapisany w aplikacji może zostać wykonany w przeglądarce użytkownika.

Wtyczka WordPress Broken Link Checker (WPMU DEV) w wersjach od n/a do 2.4.14.1 jest podatna na wstrzyknięcie kodu z powodu niewłaściwej kontroli generowania kodu. Luka umożliwia atakującemu wstrzyknięcie i wykonanie dowolnego kodu.