Katalog podatności CVE

W PHP Jabbers - PHP Poll Script stwierdzono podatność na wstrzykiwanie SQL w punkcie końcowym pjAdminPolls.controller.php. Uwierzytelniony atakujący może manipulować danymi wejściowymi, co prowadzi do wykonania nieautoryzowanych zapytań SQL. Problem został naprawiony w wersji 4.1.

W wielu skryptach PHP Jabbers stwierdzono podatność na wstrzykiwanie SQL po uwierzytelnieniu. Uwierzytelniony użytkownik może manipulować parametrami odpowiedzialnymi za sortowanie, co prowadzi do wykonania nieautoryzowanych zapytań SQL. Problem został naprawiony w wersjach określonych na liście produktów.

Poprawka bezpieczeństwa dla CVE-2025-66518 w Apache Kyuubi jest niekompletna. Każdy klient mający dostęp do serwera Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allowlist za pomocą aliasów konfiguracyjnych Spark bez prefiksu. Problem dotyczy wersji od 1.6.0 przed 1.12.0.

Niektóre produkty sieciowe Hikvision są podatne na wykonanie poleceń po uwierzytelnieniu z powodu niewystarczającej walidacji danych wejściowych. Atakujący z ważnymi danymi logowania mogą wysyłać spreparowane pakiety zawierające złośliwe polecenia, co prowadzi do wykonania dowolnych poleceń.

W 389 Directory Server (389-ds-base) znaleziono przepełnienie bufora stosu w funkcji get_ruvelement_from_berval() w repl5_ruv.c. Zdalny nieuwierzytelniony atakujący może wysłać spreparowane żądanie StartNSDS50ReplicationRequest z polem replica ID zawierającym więcej niż 16 cyfr, powodując przepełnienie i awarię serwera LDAP.

W 389 Directory Server znaleziono podatność, w której nieuwierzytelniony zdalny atakujący może wstrzyknąć filtry wyszukiwania LDAP do operacji CleanAllRUV. Ponieważ zapytanie jest wykonywane z podwyższonymi uprawnieniami, atakujący może wydobyć poufne metadane konfiguracji serwera, w tym DN-y replikacji i informacje o schemacie haseł.

W Red Hat Advanced Cluster Security for Kubernetes (RHACS) stwierdzono podatność, w której podczas przetwarzania Deploymentów Kubernetes, ACS zastępuje metadane tożsamości na podstawie etykiety openshift.io/encoded-deployment-config. Użytkownik z uprawnieniami do tworzenia Deploymentów może ustawić tę etykietę na "null", co powoduje, że ACS traktuje obciążenie jako mające pusty UID, nazwę i etykiety oraz przestrzeń nazw "default". Omija to wykrywanie zasad w czasie wdrażania i widoczność egzekwowania, uniemożliwia poprawną trwałość w Central i zakłóca raportowanie naruszeń i korelację zgodności dla danego wdrożenia.

Skrypt provisioning używany podczas instalacji stacji roboczych inżynieryjnych HIPASE-250 (dawniej 250 SCALA) ustawia stałe, zakodowane na stałe hasło x11vnc. Ponieważ to samo hasło jest stosowane do każdej stacji roboczej, atakujący z dostępem do sąsiedniej sieci, znając hasło, może uzyskać dostęp VNC do podatnych stacji.

ANDRITZ HIPASE-250 (dawniej 250 SCALA) w domyślnej konfiguracji udostępnia swój endpoint danych i konfiguracji bez uwierzytelniania i z permisywnym CORS. Nieuwierzytelniony atakujący z dostępem sieciowym może odczytać bieżące wartości procesowe i konfigurację serwera.

ANDRITZ HIPASE-250 przechowuje i przesyła hasła użytkowników w odwracalnym formacie zamiast jednokierunkowego skrótu. Umożliwia to atakującemu odczytanie przechowywanych haseł po uzyskaniu dostępu do magazynu poświadczeń lub przechwyceniu ruchu sieciowego.

Wtyczka Realtyna Organic IDX dla WordPressa do wersji 5.3.0 zawiera podatność na dowolne przesyłanie plików. Brak walidacji rozszerzenia i zawartości pliku w funkcji saveLiveImages() oraz niewystarczająca autoryzacja w handlerze AJAX get_keys() i brak uwierzytelnienia w punkcie końcowym REST API importu umożliwiają uwierzytelnionym atakującym (od poziomu subskrybenta) przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Product Feed Manager For WooCommerce dla WordPressa przed wersją 7.6.1 nieprawidłowo sanityzuje i escapuje reguły filtrów niestandardowych przed użyciem ich w zapytaniu SQL, umożliwiając użytkownikom z rolą Contributor i wyższym przeprowadzenie ataków SQL injection.

Wtyczka Geeky Bot dla WordPressa przed wersją 1.2.8 nie przeprowadza kontroli autoryzacji na jednej ze swoich akcji AJAX, umożliwiając nieuwierzytelnionym użytkownikom pobranie metadanych sesji historii czatu, w tym nazw użytkowników WordPress, ich ID oraz znaczników czasu.

Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności w żądaniach przesyłania plików. Niezalogowani użytkownicy mogą przesyłać pliki (o dozwolonych rozszerzeniach) i dołączać je do zgłoszeń wsparcia dowolnych użytkowników.

Wtyczka FlxWoo dla WordPressa przed wersją 3.1.1 nie weryfikuje z procesorem płatności, czy sesja checkoutu została faktycznie opłacona przed oznaczeniem powiązanego zamówienia jako opłaconego. Umożliwia to nieuwierzytelnionym atakującym finalizowanie zamówień WooCommerce bez płacenia.

Wtyczka Demi dla WordPressa przed wersją 0.0.7 przechowuje archiwa pełnych kopii zapasowych witryny w publicznie dostępnej lokalizacji pod przewidywalną nazwą pliku i bez ochrony dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie kompletnych kopii zapasowych, w tym bazy danych witryny i skrótów haseł użytkowników.

Wtyczka GiveWP dla WordPressa przed wersją 4.16.3 nieprawidłowo ogranicza dostęp do punktu końcowego REST API, który zwraca rekordy cyklicznych darowizn. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie informacji o anonimowych cyklicznych darczyńcach, w tym ich nazwisk i szczegółów subskrypcji.

Wtyczka Frontend Admin by DynamiApps dla WordPressa przed wersją 3.29.9 dekoduje encje HTML w przesłanej wartości pola formularza po jej oczyszczeniu, co przywraca znaczniki HTML, które zostały zneutralizowane przez oczyszczacz. Podwójnie zakodowany ładunek przesłany przez nieuwierzytelnionego odwiedzającego jest przechowywany jako żywy znacznik i później wyświetlany bez kodowania na powierzchniach wyświetlania front-endu, co skutkuje przechowywanym cross-site scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratora, który przegląda stronę wyświetlającą przesłaną wartość.

Wtyczka ElementsKit Elementor Addons dla WordPressa przed wersją 3.10.01 nie zapobiega zapisaniu definicji niestandardowego widgetu przez użytkownika z uprawnieniami administracyjnymi bezpośrednio do wygenerowanego pliku PHP, który jest następnie wykonywany. Pozwala to na uruchomienie dowolnego kodu PHP na serwerze. W sieci multisite administrator podstrony (bez uprawnień do edycji plików) może uzyskać dostęp do wykonywania kodu na poziomie hosta.

Wtyczka Kirki dla WordPressa przed wersją 6.0.13 nieprawidłowo oczyszcza i koduje wartość pochodzącą z żądania przed użyciem jej w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku SQL Injection.