Katalog podatności CVE

W bibliotece bc-csharp przed wersją 2.7.0 weryfikator MAC oparty na haśle CMP/CRMF (PKMacBuilder) nie ogranicza liczby iteracji, jeśli nie podano maksymalnej wartości. Zdalny atakujący może wysłać wiadomość CMP lub żądanie CRMF z bardzo dużą liczbą iteracji, powodując przeciążenie CPU i odmowę usługi.

W bibliotece bc-csharp przed wersją 2.7.0 funkcja IesEngine.DecryptBlock wykazuje zauważalną różnicę w zachowaniu przy błędzie dopełnienia i błędzie MAC. Atakujący, który przechwycił szyfrogram IES/ECIES, może wykorzystać atak typu padding-oracle do odzyskania tekstu jawnego.

W bibliotece bc-csharp przed wersją 2.7.0 mechanizm składania pakietów DTLS (DtlsReliableHandshake, DtlsReassembler) alokuje pamięć na podstawie 24-bitowej długości z nagłówka fragmentu, bez sprawdzenia maksymalnego rozmiaru wiadomości. Zdalny atakujący może wysłać spreparowane fragmenty, powodując wyczerpanie pamięci i odmowę usługi.

W bibliotece bc-csharp przed wersją 2.7.0 w trybie strumieniowym IesEngine klucz MAC jest wyprowadzany bezpośrednio po strumieniu klucza, który zależy tylko od statycznego klucza i parametrów. Atakujący, który zna tekst jawny jednej wiadomości, może sfałszować krótsze wiadomości, które zostaną uznane za autentyczne.

W bibliotece bc-csharp przed wersją 2.7.0 implementacja trybu CCM algorytmu DSTU 7624 (KCcmBlockCipher) nie przetwarza bloku G1, gdy nie ma danych stowarzyszonych. Atakujący, który obserwuje zaszyfrowane wiadomości o znanej lub wybranej treści, może sfałszować szyfrogramy z prawidłowymi tagami uwierzytelniającymi.

W bibliotece bc-csharp przed wersją 2.7.0 implementacja AES-CCM (CcmParameters i CcmBlockCipher) nieprawidłowo waliduje długość tagu uwierzytelniającego. Atakujący może zmodyfikować zaszyfrowaną treść CCM bez wykrycia, używając AlgorithmIdentifier z tagiem o długości zero lub spoza dozwolonego zestawu.

Wtyczka BA Book Everything dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'booking_service_qty'. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.

Wtyczka Ninja Forms - File Uploads dla WordPressa jest podatna na dowolne operacje na plikach w wersjach do 3.3.34 przez zewnętrzny przepływ przesyłania (Amazon S3). Wtyczka ufa ścieżce pliku podanej przez atakującego, co pozwala na odczyt, zapis lub usunięcie dowolnych plików na serwerze.

Wtyczka SiteOrigin Widgets Bundle dla WordPressa (wersje do 1.73.2 włącznie) jest podatna na lokalne włączenie plików (LFI) poprzez parametr 'theme'. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może włączyć i wykonać dowolne pliki .php na serwerze, co prowadzi do wykonania kodu PHP. Wykorzystanie wymaga wysłania złośliwego ładunku widgetData z kluczem 'theme' na endpoint REST /wp-json/sowb/v1/widgets/previews.

Wtyczka OMGF | GDPR/DSGVO Compliant, Faster Google Fonts dla WordPressa w wersjach przed 6.3.11 nie wymaga uwierzytelnienia ani ważnego nonce w akcji wykonującej powolne zapytanie zwrotne po stronie serwera. Umożliwia to nieuwierzytelnionym atakującym wyczerpanie puli procesów PHP i niedostępność całej witryny.

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).

Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa (wersje do 6.3.316 włącznie) jest podatna na eskalację uprawnień. Funkcja before_email_success_msg() w dodatku Register & Login w przepływie register_login_action='update' ufa wartości user_id dostarczonej przez atakującego i przekazuje ją do wp_update_user() bez sprawdzenia właściciela lub uprawnień. Uwierzytelniony atakujący z uprawnieniami subskrybenta może utworzyć złośliwy formularz i przesłać go z user_id administratora oraz nowym hasłem/e-mailem, przejmując konto.

Wtyczka CTX Feed Pro dla WordPressa do wersji 7.6.12 włącznie jest podatna na wstrzykiwanie kodu z powodu niewystarczającej walidacji pola 'Feed Config', które jest przekazywane bezpośrednio do funkcji eval(). Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym wykonanie dowolnego kodu PHP na serwerze.

Wtyczka Visitors Traffic Real Time Statistics Pro dla WordPressa do wersji 11.22 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS) przez parametr page_title w akcji AJAX ahcpro_track_visitor. Akcja jest dostępna dla niezalogowanych użytkowników i zapisuje wartość bez sanityzacji, a następnie jest renderowana w panelu administratora bez escape'owania, co pozwala na wykonanie dowolnego JavaScriptu.

W systemie SourceCodester Online Reviewer Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /reviewer_0/admins/assessments/activities/btn_functions.php?action=activity. Manipulacja argumentem Title prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W pakiecie modelcontextprotocol mcp-server-fetch i mcp-server-everything do wersji 2026.6.4 wykryto podatność na Server-Side Request Forgery (SSRF) w funkcji fetch_url w pliku mcp_server_fetch/server.py. Manipulacja argumentem url/path umożliwia zdalny atak. Exploit został publicznie ujawniony, a poprawka oczekuje na akceptację.

Podatność polega na przesyłaniu wrażliwego klucza w adresie URL przez niezaszyfrowane połączenie HTTP. Klucz jest przesyłany jawnym tekstem, co umożliwia atakującemu monitorującemu ruch sieciowy przechwycenie go.

Klucz API jest na stałe zapisany w pakiecie aplikacji i możliwy do odzyskania. Ponieważ aplikacje Android mogą być poddane reverse engineeringowi, osadzenie wrażliwych danych uwierzytelniających w aplikacji klienckiej może umożliwić nieautoryzowanym użytkownikom wyodrębnienie i niewłaściwe użycie klucza.

Klucz API jest na stałe zapisany w pakiecie aplikacji i możliwy do odzyskania. Ponieważ aplikacje Android mogą być poddane reverse engineeringowi, osadzenie wrażliwych danych uwierzytelniających w aplikacji klienckiej może umożliwić nieautoryzowanym użytkownikom wyodrębnienie i niewłaściwe użycie klucza.

ClipBucket v5 do wersji 5.5.3-#197 zawiera podatność na wstrzyknięcie SQL, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem ad_manager_access wstrzykiwanie SQL przez parametr delete w admin_area/ads_manager.php. Atakujący mogą używać ślepych payloadów opartych na czasie, aby wyodrębnić dane uwierzytelniające i e-maile użytkowników lub modyfikować i usuwać rekordy.