Katalog podatności CVE

Wtyczka Gallery for Google Photos dla WordPressa przed wersją 1.2.1 nie ogranicza prawidłowo dostępu do przechowywanych poświadczeń OAuth strony trzeciej podłączonego konta. Ujawnia to trwałe tokeny dostępu i odświeżania nieuwierzytelnionym użytkownikom, umożliwiając długoterminowe przejęcie połączonego konta.

Wtyczka SMS Alert dla WordPressa przed wersją 3.9.8 nie wiąże flagi sesji 'mobile verified' z faktycznie zweryfikowanym numerem telefonu. Po zweryfikowaniu OTP wysłanego na własny telefon atakującego, procedura logowania odczytuje nowy, podany przez atakującego numer telefonu do wyboru konta i loguje go. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, który ma numer telefonu do fakturowania.

Wtyczka Five Star Restaurant Reservations dla WordPressa przed wersją 2.7.23 nie sprawdza uprawnień w jednej z akcji AJAX. Umożliwia to użytkownikom z najniższą rolą zarządzania rezerwacjami (która domyślnie nie ma dostępu do ustawień wtyczki) zresetowanie skonfigurowanych reguł powiadomień o rezerwacjach.

Opis CVE-2026-14920 zawiera jedynie słowo '## Summary', co uniemożliwia szczegółową analizę. Na podstawie dostępnych informacji nie można określić charakteru podatności.

Motyw WordPress Lenxel WP w wersji do 1.0.31 nie przeprowadza żadnej kontroli autoryzacji ani własności w akcji resetowania hasła, walidując jedynie token CSRF. Pozwala to nieuwierzytelnionym atakującym zresetować hasło dowolnego użytkownika (w tym administratora) i przejąć konto.

Wtyczka User Access Manager dla WordPressa jest podatna na przeszukiwanie katalogów we wszystkich wersjach do 2.3.15 włącznie poprzez parametr 'uamgetfile'. Nieuwierzytelnieni atakujący mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Dzieje się tak, ponieważ gdy funkcja attachment_url_to_postid() zwraca 0 dla ścieżki przeszukiwania, wtyczka używa globalnego posta ustawionego przez prawidłowy parametr ?attachment_id, co powoduje, że kontrola dostępu przechodzi dla publicznego załącznika, podczas gdy strumieniowany jest plik wybrany przez atakującego.

Wtyczka CubeWP Framework dla WordPressa jest podatna na przeszukiwanie katalogów we wszystkich wersjach do 1.1.30 włącznie poprzez funkcję 'cubewp_get_svg_content'. Nieuwierzytelnieni atakujący mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Podatność jest wykorzystywana przez nieuwierzytelnionych atakujących, ponieważ wymagany nonce jest publicznie emitowany w znacznikach każdej strony renderującej shortcode lub widget CubeWP z włączonym ładowaniem AJAX, co umożliwia jego przechwycenie przez każdego gościa przed wysłaniem żądania AJAX.

Podatność w bibliotece guardian (wersje od 1.0.0 przed 2.4.1) polega na nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala nieuwierzytelnionemu atakującemu na unieważnienie sesji ofiary za pomocą sfałszowanego tokena JWT.

Podatność w bibliotece Guardian (moduł Guardian.Permissions) pozwala na atak DoS poprzez wyczerpanie tablicy atomów BEAM. Funkcja encode_permissions!/1 konwertuje klucze mapy na atomy bez walidacji, a atomy nie są usuwane przez garbage collector, co prowadzi do wyczerpania stałego zasobu tablicy atomów.

Podatność w bibliotece Guardian (Elixir) umożliwia atak DoS poprzez nieograniczone tworzenie atomów z danych binarnych kontrolowanych przez atakującego. Funkcja encode/3 w Guardian.Permissions.AtomEncoding wywołuje String.to_atom/1 bez walidacji, co prowadzi do wyczerpania tablicy atomów BEAM i awarii węzła.

Podatność w guardian (wersje od 0.1.0 przed 2.4.1) polega na alokacji zasobów bez ograniczeń, co umożliwia atakującemu przeprowadzenie ataku DoS poprzez tworzenie nieograniczonej liczby atomów z danych binarnych.

Luka XSS w luci-app-https-dns-proxy pozwala uwierzytelnionym użytkownikom wstrzyknąć aktywny HTML przez parametr resolver_url. Podczas przeglądania strony statusu HTTPS DNS Proxy przez administratora, URL resolvera jest renderowany jako surowy HTML i wykonuje JavaScript w kontekście przeglądarki administratora.

ArcadeDB przed wersją 26.7.2 nie zaciemnia tokena klastra w odpowiedzi GET /api/v1/server, umożliwiając uwierzytelnionym użytkownikom odczytanie arcadedb.ha.clusterToken w postaci jawnego tekstu. Atakujący mogą użyć wyciekłego tokena z nagłówkami X-ArcadeDB-Cluster-Token i X-ArcadeDB-Forwarded-User do podszycia się pod roota i wykonania działań administracyjnych, w tym tworzenia użytkowników, operacji na bazie danych i wyłączenia serwera.

ArcadeDB przed wersją 26.7.2 (arcadedb-engine) umożliwia skryptom wyzwalaczy odwoływanie się do klas hosta w java.lang.* (poprzez Java.type), ponieważ ScriptTriggerExecutor dodaje java.lang.* do dozwolonych pakietów. Uwierzytelniony użytkownik z uprawnieniami UPDATE_SCHEMA może utworzyć wyzwalacz JavaScript, który wywołuje java.lang.Runtime.getRuntime().exec() (lub ProcessBuilder), osiągając wykonanie poleceń systemu operacyjnego po uruchomieniu wyzwalacza.

better-auth przed wersją 1.6.11 zawiera niebezpieczne domyślne ustawienia kryptograficzne w pluginach oidcProvider i mcp, które reklamują algorytm none i domyślnie akceptują zwykły PKCE. Atakujący mogą wykorzystać negocjację algorytmów do zaakceptowania niepodpisanych tokenów lub przechwycenia kodów autoryzacyjnych, gdy używany jest zwykły PKCE zamiast wymaganej metody S256.

better-auth przed wersją 1.6.13 (oraz wersje pre-release 1.7.0-beta.0 do 1.7.0-beta.3) nie waliduje schematu redirect_uris zarejestrowanych przez przestarzały plugin oidc-provider oraz plugin mcp. Atakujący może zarejestrować klienta OAuth z redirect_uri o schemacie javascript:, który serwer autoryzacyjny zwraca bez zmian w odpowiedzi na zgodę. Jeśli strona zgody przekierowuje przeglądarkę do zwróconego redirectURI (np. przypisując go do window.location.href), JavaScript atakującego wykonuje się w kontekście serwera autoryzacyjnego, ujawniając sesję ofiary i umożliwiając przejęcie konta.

better-auth SCIM w wersjach od 1.5.0 do 1.7.0-beta.3 domyślnie nie wiąże dostawców SCIM spoza organizacji z ich twórcą, umożliwiając uwierzytelnionym użytkownikom zarządzanie dostawcami innych użytkowników. Atakujący mogą regenerować tokeny SCIM, unieważniać prawidłowe tokeny i uwierzytelniać się do interfejsów API SCIM przy użyciu kontrolowanego przez siebie tokena.

@better-auth/stripe w wersjach >= 1.4.11 i < 1.6.21 oraz >= 1.7.0-beta.0 i < 1.7.0-beta.10 zawiera obejście autoryzacji w akcjach subskrypcji organizacji. Middleware waliduje identyfikator organizacji z parametru zapytania względem callbacku authorizeReference, ale handler odczytuje identyfikator organizacji tylko z ciała żądania i w razie braku używa aktywnej organizacji z sesji wywołującego. Gdy te wartości się różnią, uwierzytelniony członek wielu organizacji może wykonywać akcje subskrypcji (anulowanie, zmiana planu, przywrócenie, dostęp do portalu rozliczeniowego) wobec organizacji, do której należy, ale którą nie powinien zarządzać, oraz uzyskać dostęp do danych rozliczeniowych innej organizacji, w tym metod płatności, faktur i stanu subskrypcji.

@better-auth/sso przed wersją 1.6.21 zawiera wiele luk obejścia uwierzytelniania w obsłudze dostawców SSO, umożliwiających atakującym logowanie się jako dowolni użytkownicy. Atakujący mogą wykorzystać niezgodności w parsowaniu weryfikacji domeny, osierocone konta dostawców, niepowiązane asercje SAML lub odbite XSS na punktach końcowych wylogowania, aby uzyskać nieautoryzowany dostęp do sesji i przejąć konto.