Katalog podatności CVE

Wtyczka Happy Coders OTP Login for WooCommerce przed wersją 2.8 nie weryfikuje, czy jednorazowe hasło (OTP) zostało faktycznie zatwierdzone przed uwierzytelnieniem użytkownika na podstawie dostarczonego identyfikatora. Umożliwia to nieuwierzytelnionym atakującym logowanie się jako dowolny istniejący użytkownik, w tym administrator, oraz tworzenie nowych kont.

Wtyczka SAML Single Sign On – SSO Login dla WordPressa do wersji 5.4.3 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania poprzez pomylenie algorytmu podpisu SAML. Funkcja `Mo_SAML_Utilities::mo_saml_cast_key()` odczytuje atrybut algorytmu `SignatureMethod` bezpośrednio z kontrolowanego przez atakującego parametru `SAMLResponse`, zamiast wymuszać lokalnie skonfigurowany algorytm, co pozwala na przekształcenie klucza publicznego RSA IdP w wspólny sekret HMAC-SHA1 i weryfikację sfałszowanego podpisu.

Wekan przed wersją 9.46 zawiera podatność w mechanizmie logowania przez nagłówek (header-login), gdzie funkcja getRequestIp() ufa nagłówkowi X-Forwarded-For dostarczonemu przez klienta przed rzeczywistym adresem gniazda. Pozwala to nieuwierzytelnionemu atakującemu na podszycie się pod dowolnego użytkownika, w tym administratora, poprzez wysłanie nagłówka HEADER_LOGIN_ID i uzyskanie sesji meteor_login_token.

Podatność w Qinglong przed wersją 2.20.1 pozwala nieuwierzytelnionemu atakującemu na zresetowanie danych logowania administratora. Mechanizm ochrony inicjalizacji nie obejmuje ścieżki /open/user/init, która jest przepisywana po autoryzacji JWT, co umożliwia atak przez wysłanie żądania PUT.

WWBN AVideo przed wersją 29.0 zawiera podatność na trwałe DOM Cross-Site Scripting w pluginie YPTSocket. Niezautoryzowany atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście administratora przeglądającego panel debugowania online użytkowników.

W Wekan przed wersją 9.32, w hooku Accounts.onCreateUser w server/models/users.js, logowanie przez OIDC jest scalane z istniejącymi kontami, gdy adres e-mail lub nazwa użytkownika OIDC pasuje do istniejącego użytkownika Wekan, bez weryfikacji własności lub sprawdzenia email_verified. Atakujący używający konta OIDC z adresem e-mail lub nazwą użytkownika ofiary może scalić swoje dane uwierzytelniające OIDC z kontem ofiary, a następnie zalogować się jako to konto.

Wekan przed wersją 9.07 zawiera podatność na wstrzykiwanie poleceń w funkcji przesyłania awatarów. Nazwy plików dostarczone przez użytkownika są przekazywane do funkcji child_process.exec() bez odpowiedniego oczyszczenia, co umożliwia wykonanie dowolnych poleceń na serwerze poprzez znaki specjalne, takie jak backticki czy $().

LiteLLM 1.18.10 zawiera podatność zdalnego wykonania kodu w funkcji tworzenia serwera MCP. Aplikacja pozwala użytkownikom dodawać serwery MCP poprzez konfigurację JSON, określając dowolne wartości command i args, które są wykonywane na hoście bez walidacji. Umożliwia to atakującym uruchamianie dowolnych poleceń systemu operacyjnego.

W aplikacji xszyou Fay 4.3.1 wykryto podatność zdalnego wykonania kodu w mechanizmie zarządzania serwerem MCP STDIO i obsługi poleceń. Zdalny atakujący może uzyskać dostęp do publicznie wystawionego interfejsu zarządzania MCP i skonfigurować serwer MCP STDIO z kontrolowanymi przez siebie poleceniami i parametrami, co prowadzi do wykonania dowolnych poleceń na serwerze.

W aplikacji internetowej xxl-job-admin w wersji 3.0.0 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF). Brak walidacji tokenów CSRF oraz akceptacja dowolnych metod HTTP w punkcie końcowym umożliwiają atakującemu nieautoryzowaną modyfikację skryptów powłoki Glue IDE.

W GPT Researcher w wersji 3.3.7 wykryto podatność umożliwiającą zdalne wykonanie dowolnych poleceń na systemie ofiary. Atak wymaga interakcji użytkownika z spreparowaną stroną HTML.

W n8n-MCP przed wersją 2.56.1, w trybie HTTP z włączoną wielodzierżawnością (ENABLE_MULTI_TENANT=true), lokalne kopie zapasowe wersji przepływów pracy nie były izolowane dla poszczególnych dzierżawców. Umożliwiało to uwierzytelnionemu dzierżawcy odczyt i usunięcie kopii zapasowych innych dzierżawców, w tym pełnych definicji węzłów, referencji do poświadczeń i nagłówków autoryzacyjnych.

Wtyczka @nocobase/plugin-notification-in-app-message w NocoBase przed wersją 2.0.61 zawiera podatność na wstrzykiwanie SQL przez endpoint GET /api/myInAppChannels:list. Parametr filter[latestMsgReceiveTimestamp][$lt] jest bezpośrednio wstawiany do szablonu Sequelize.literal() bez odpowiedniego oczyszczania, co umożliwia uwierzytelnionemu użytkownikowi wykonanie złośliwych zapytań PostgreSQL, w tym potencjalnie poleceń systemowych przez COPY ... TO PROGRAM.

Podatność przepełnienia bufora w routerze Tenda AC10 v3 (firmware V03.03.16.09) umożliwia atakującemu spowodowanie trwałej odmowy usługi (DoS) lub potencjalnie zdalne wykonanie kodu poprzez endpoint /cgi-bin/UploadCfg.

W 9Router w wersjach od 0.2.21 do 0.4.44 użyto zakodowanego na stałe zapasowego sekretu JWT '9router-default-secret-change-me', co pozwala atakującemu na fałszowanie ciasteczka auth_token, gdy zmienna JWT_SECRET nie jest ustawiona. Problem został naprawiony w wersji 0.4.44.

W 9Router w wersjach od 0.4.30 do 0.4.37, middleware w src/proxy.js nie chronił ścieżek /api/cli-tools/* i /api/mcp/*, umożliwiając nieuwierzytelnioną rejestrację wtyczek oraz wykonanie poleceń przez most MCP. Luka została naprawiona w wersji 0.4.37.

W Cilium przed wersjami 1.17.14, 1.18.8 i 1.19.2, gdy włączona jest funkcjonalność L7, wbudowana lub samodzielna instancja Envoy tworzy globalnie dostępny gniazdo admin.sock na węzłach klastra. Umożliwia to lokalnemu atakującemu dostęp do punktów końcowych administracyjnych Envoy, ujawnienie tajemnic TLS, zakłócenie ruchu w klastrze lub zatrzymanie Envoy.

W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.

W dniu 29 kwietnia 2026 roku opublikowano złośliwe wersje pakietów npm `@cap-js/[email protected]`, `@cap-js/[email protected]` oraz `@cap-js/[email protected]`. Pakiety te wykradały dane uwierzytelniające i próbowały samoreplikować się w środowisku ofiary.