Katalog podatności CVE

n8n w wersjach przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 zawiera podatność na wstrzyknięcie NoSQL w węźle MongoDB Chat Memory, który nie waliduje parametru sessionId. Nieuwierzytelnieni atakujący mogą podać operatory zapytań MongoDB w polu sessionId, aby uzyskać dostęp do historii rozmów innych użytkowników i wykonać nieautoryzowane operacje zapisu i usuwania.

n8n w wersjach przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 zawiera podatność na trwałe DOM cross-site scripting w obsłudze linków rozwijanych w parametrach Resource Locator. Autorzy przepływów pracy mogą wstrzyknąć złośliwe adresy URL skryptów, które wykonują dowolny JavaScript w kontekście edytora, gdy inni użytkownicy otworzą rozwijane menu węzła i klikną ikonę linku zewnętrznego, a ładunek utrzymuje się po importach i udostępnieniach przepływów pracy.

n8n przed wersją 1.123.80 zawiera podatność na manipulację poświadczeniami, gdzie zduplikowane identyfikatory węzłów omijają zabezpieczenie przepływu pracy przed manipulacją poświadczeniami. Atakujący z dostępem edytora do współdzielonych przepływów pracy mogą wykorzystać niedopasowanie identyfikatorów i nazw węzłów, aby zachować poświadczenia ofiary i przekierować sekrety na kontrolowane przez atakującego hosty.

n8n przed wersjami 2.39.6 i 2.40.1 nie weryfikuje własności poświadczeń podczas introspekcji narzędzi węzłów inline. Atakujący mogą odwoływać się do dowolnych identyfikatorów poświadczeń, aby odszyfrować i eksfiltrować jawne sekrety na kontrolowane przez atakującego hosty bez weryfikacji własności.

Podatność Server-Side Request Forgery (SSRF) w LA-Studio Element Kit dla Elementor (lastudio-element-kit) umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów. Problem dotyczy wersji od n/a do 1.6.2.

W narzędziu oc-mirror podczas operacji mirrorowania wbudowany lokalny rejestr pamięci podręcznej wiąże się ze wszystkimi interfejsami sieciowymi bez uwierzytelniania i szyfrowania, zamiast ograniczać dostęp do lokalnego systemu. Nieuwierzytelniony atakujący z sąsiedniej sieci może połączyć się z odsłoniętą usługą, aby wypchnąć zmodyfikowane obrazy kontenerów, usunąć obrazy z pamięci podręcznej lub uzyskać dostęp do mirrorowanej zawartości.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'postdata-1[post-custom]' we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy dostępie do zainfekowanej strony. Wymagany nonce formularza jest swobodnie dostępny dla nieuwierzytelnionych użytkowników przez publiczny endpoint wp_ajax_nopriv_forminator_get_nonce, co czyni cały łańcuch ataku wykonalnym bez uwierzytelnienia.

Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.

Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.

Niekompletna czarna lista rozszerzeń w module Menedżer plików umożliwia uwierzytelnionemu użytkownikowi przesyłanie i wykonywanie dowolnych plików .phar. Dotyczy Pandora FMS od wersji 777.

Brak autoryzacji w pobieraniu danych modułu umożliwia nieautoryzowany dostęp do historii modułów między grupami. Dotyczy Pandora FMS od wersji 777.

Połączona podatność na obejście CSRF i nieograniczone przesyłanie plików w Menedżerze plików wtyczek umożliwia atakującemu przesyłanie i wykonywanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu. Problem dotyczy Pandora FMS od wersji 777.

W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.

W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.

W JetBrains YouTrack w wersjach przed 2026.2.19422 możliwe było podniesienie uprawnień poprzez linki do grup użytkowników. Podatność pozwala użytkownikowi na uzyskanie wyższych uprawnień niż te, które powinien posiadać.

W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.

Wtyczka Business Essentials for Contact Form 7 dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole formularza 'gateway' we wszystkich wersjach do 1.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga włączonego modułu Payments oraz formularza skonfigurowanego do akceptowania zarówno PayPal, jak i Stripe.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola długości i szerokości geograficznej znacznika na mapie we wszystkich wersjach do 1.15.47 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress jest podatna na trwałe wstrzyknięcie skryptu DOM (stored DOM-based XSS) poprzez jednowierszowe pole formularza rezerwacji w komponencie renderującym listę kalendarza we wszystkich wersjach do 1.5.97 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga ustawienia parametru 'list_readmore_numberofwords' na dodatnią wartość całkowitą; domyślna wartość 0 omija gałąź dekodowania i obcinania, przez co nie jest podatna na wykorzystanie.

Wtyczka WPC Shop as a Customer for WooCommerce dla WordPress jest podatna na podniesienie uprawnień poprzez przejęcie konta we wszystkich wersjach do 2.0.0 włącznie. Wynika to z braku prawidłowej walidacji roli docelowego użytkownika przed utworzeniem nowej sesji uwierzytelniającej, co pozwala uwierzytelnionemu atakującemu zalogować się jako dowolny administrator WordPress, podając bezpośrednio identyfikator użytkownika administratora do punktu końcowego wpcsa_login i otrzymując pełne ciasteczko sesji administratora bez podawania hasła. Umożliwia to uwierzytelnionym atakującym bezpośrednie przejęcie sesji i uzyskanie pełnego dostępu na poziomie administratora do witryny.