Katalog podatności CVE

System zarządzania Prog Management System firmy PROG MIS zawiera podatność ujawnienia wrażliwych informacji, która pozwala nieuwierzytelnionym zdalnym atakującym na wyświetlenie konkretnej strony i uzyskanie nazwy użytkownika oraz hasła do bazy danych.

Aplikacja ERP opracowana przez PROG MIS zawiera podatność polegającą na użyciu zakodowanych na stałe poświadczeń, co umożliwia nieuwierzytelnionym zdalnym atakującym zalogowanie się w celu przeglądania kodu aplikacji oraz uzyskania konta i hasła bazy danych.

Wykryto podatność w narzędziu create-react-app do wersji 5.0.1 na systemie macOS. Funkcja startBrowserProcess w pliku openBrowser.js komponentu react-dev-utils umożliwia wstrzyknięcie poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W GPAC 26.03-DEV-rev342-g80071f700-master wykryto podatność w funkcji txtin_probe_duration pliku src/filters/load_text.c komponentu TeXML File Handler. Manipulacja argumentem txml_timescale prowadzi do dzielenia przez zero. Atak wymaga dostępu lokalnego.

W projekcie ecommerceFlask autorstwa imhamzaazam (do wersji cb7d9e24c30a99379651b7493b32048126ef402b) wykryto słabość w nieznanej funkcji, która umożliwia atak Cross-Site Request Forgery (CSRF). Atak może być przeprowadzony zdalnie, a exploit został opublikowany, co zwiększa ryzyko wykorzystania.

Wtyczka Admin and Site Enhancements (ASE) dla WordPressa przed wersją 8.8.4 nie przeprowadza uwierzytelniania, autoryzacji ani sprawdzania nonce w procedurze przywracania roli, co pozwala nieuwierzytelnionym atakującym na przywrócenie wcześniej zdegradowanego konta administratora do roli administratora. Jest to niekompletna poprawka CVE-2024-43333 / CVE-2025-24648, która zamknęła problem tylko dla jednej ze ścieżek degradacji dostępnych w API ról WordPressa.

Wtyczka FileOrganizer dla WordPressa przed wersją 1.2.0 nie waliduje typu plików w kilku operacjach zarządzania plikami, co pozwala uwierzytelnionym użytkownikom z dostępem do menedżera plików (który płatny dodatek może rozszerzyć na role podadministratorów) na przesyłanie dowolnych plików PHP i zdalne wykonanie kodu. Jest to niekompletna poprawka CVE-2024-7985, która dodała walidację typu plików tylko do operacji przesyłania.

Wtyczka Simple Membership dla WordPress przed wersją 4.7.5 nie weryfikuje autentyczności żądań webhook Stripe, gdy nie skonfigurowano tajnego klucza podpisu, ani nie zabezpiecza wartości pobranych z tych żądań przed wyświetleniem w powiadomieniu administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów web, które wykonują się w kontekście zalogowanego administratora.

Wtyczka Ultimate Member dla WordPressa przed wersją 2.12.0 nieprawidłowo oczyszcza i koduje wartości niestandardowych pól profilu typu textarea przed wyświetleniem ich na profilach użytkowników. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym przechowywanie kodu JavaScript, który wykonuje się podczas przeglądania profilu przez dowolnego użytkownika, w tym administratora.

Wtyczka AllCoach dla WordPress przed wersją 1.0.2 nie weryfikuje, czy adres e-mail przesłany do publicznego punktu rejestracji konta nie jest już powiązany z istniejącym użytkownikiem przed nadpisaniem jego hasła. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego konta, w tym administratorów, i przejęcie strony.

Wtyczka Notifications for Forms & WordPress Actions przed wersją 2.6 nie waliduje wartości dostarczonej przez użytkownika przed użyciem jej do budowy ścieżki dołączania plików po stronie serwera. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym dołączanie i wykonywanie dowolnych lokalnych plików PHP na serwerze.

W aplikacji CodeAstro Ecommerce Website 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /customer/my_account.php?my_wishlist. Manipulacja argumentem delete_wishlist umożliwia atakującemu zdalne wykonanie nieautoryzowanych zapytań do bazy danych. Exploit został opublikowany publicznie, co zwiększa ryzyko wykorzystania.

W systemie CodeAstro Apartment Visitor Management 1.0 wykryto podatność SQL injection w pliku visitor-entry.php. Atakujący może zdalnie manipulować argumentem visname, co prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny.

W systemie CodeAstro Apartment Visitor Management System 1.0 wykryto podatność na iniekcję SQL w pliku /apartment-visitor/edit-apartment.php. Manipulacja argumentem editid umożliwia zdalne wykonanie ataku. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie CodeAstro Apartment Visitor Management System 1.0 znaleziono podatność SQL Injection w pliku /apartment-visitor/report.php. Atakujący może zdalnie manipulować argumentem fromdate, co prowadzi do wstrzyknięcia SQL. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.

W systemie CodeAstro Apartment Visitor Management System 1.0 wykryto podatność SQL Injection w pliku /apartment-visitor/action-visitor.php. Atakujący może zdalnie manipulować argumentem 'remark', co prowadzi do wstrzyknięcia kodu SQL. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w endpointcie Charts. Funkcja actionGetNewUsersData w pliku ChartsController.php nieprawidłowo autoryzuje dostęp przez argument userGroupId, co umożliwia nieautoryzowane działanie. Atak może być przeprowadzony zdalnie.

W Craft CMS do wersji 4.18.0.1 wykryto podatność w funkcji actionReorderSets w pliku GlobalsController.php. Manipulacja parametrami endpointu reorder-sets prowadzi do obejścia autoryzacji.

W Formbricks 5.0.0 wykryto podatność w komponencie Survey Handler (plik apps/web/modules/survey/link/actions.ts). Manipulacja prowadzi do nieprawidłowej kontroli dostępu, co umożliwia zdalne wykorzystanie luki.

W Crater Invoice Inc do wersji 6.0.6 wykryto podatność na atak XSS w funkcji getFormattedString pliku app/Http/Requests/InvoicesRequest.php. Manipulacja argumentem notes w komponencie obsługi notatek faktur może prowadzić do wykonania skryptów po stronie przeglądarki. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.