Katalog podatności CVE

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka HandL UTM Grabber / Tracker dla WordPressa w wersjach przed 2.8.1 nie sanitizuje i nie ucieka parametru przed jego wyświetleniem na stronie, co prowadzi do podatności na Reflected Cross-Site Scripting. Może to być wykorzystane przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wtyczka Hippoo Mobile App dla WooCommerce w WordPressie jest podatna na atak typu Path Traversal we wszystkich wersjach do i włącznie z 1.7.1, poprzez funkcję template_redirect(). Umożliwia to nieautoryzowanym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.

Wtyczka Elated Membership dla WordPressa jest podatna na obejście uwierzytelniania we wszystkich wersjach do i włącznie z 1.2. Problem wynika z niewłaściwego logowania użytkownika z danymi wcześniej zweryfikowanymi przez funkcje 'eltdf_membership_check_facebook_user' oraz 'eltdf_membership_login_user_from_social_network'.

Filament to zbiór komponentów do przyspieszonego rozwoju w Laravel. Wersje od 4.0.0 do 4.3.0 zawierają błąd w obsłudze kodów odzyskiwania dla aplikacyjnej wieloskładnikowej autoryzacji, co pozwala na nieograniczone ponowne użycie tego samego kodu odzyskiwania.

PipesHub to platforma AI do automatyzacji pracy, która w wersjach przed 0.1.0-beta ma lukę w zabezpieczeniach. Brak autoryzacji na końcówce POST /api/v1/record/buffer/convert pozwala atakującemu na przesyłanie plików i nadpisywanie ich w dowolnej lokalizacji, co może prowadzić do złośliwego działania.

Podatność w ColdFusion umożliwia atakującemu uzyskanie ograniczonego nieautoryzowanego dostępu do zapisu poprzez niewystarczającą ochronę poświadczeń. Luka wynika z nieprawidłowego przechowywania lub przesyłania danych uwierzytelniających. Eksploatacja nie wymaga interakcji użytkownika.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest dotknięty podatnością niewłaściwej kontroli dostępu. Atakujący z niskimi uprawnieniami może ominąć zabezpieczenia i uzyskać ograniczony nieautoryzowany zapis, co może prowadzić do odmowy usługi. Wymaga interakcji użytkownika.

Podatność XXE w ColdFusion (wersje 2025.4, 2023.16, 2021.22 i wcześniejsze) może prowadzić do odczytu dowolnych plików z systemu plików. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do uzyskania dostępu do wrażliwych plików i danych na serwerze.

Podatność w ColdFusion (wersje 2025.4, 2023.16, 2021.22 i wcześniejsze) wynika z nieprawidłowej walidacji danych wejściowych, co może prowadzić do zapisu dowolnych plików w systemie plików. Atakujący może wykorzystać tę podatność do zapisu złośliwych plików w dowolnych lokalizacjach.

Podatność XXE w ColdFusion umożliwia nieautoryzowany odczyt plików na serwerze. Luka występuje w wersjach 2025.4, 2023.16, 2021.22 i starszych. Atakujący może wykorzystać ją do uzyskania dostępu do wrażliwych danych, choć wymaga to spełnienia dodatkowych warunków.

Wersje ColdFusion 2025.4, 2023.16, 2021.22 i wcześniejsze są podatne na lukę XXE (nieprawidłowe ograniczenie odniesienia do zewnętrznych jednostek XML), co może prowadzić do nieautoryzowanego odczytu plików z systemu plików. Atakujący może wykorzystać tę lukę do uzyskania dostępu do wrażliwych plików na serwerze.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest podatny na niewłaściwą walidację danych wejściowych, co może pozwolić atakującemu z wysokimi uprawnieniami na uzyskanie wykonania dowolnego kodu. Wykorzystanie nie wymaga interakcji użytkownika.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest dotknięty podatnością niewłaściwej kontroli dostępu, która może skutkować wykonaniem dowolnego kodu w kontekście bieżącego użytkownika. Atakujący z wysokimi uprawnieniami może wykorzystać tę podatność do obejścia zabezpieczeń i wykonania złośliwego kodu. Eksploatacja nie wymaga interakcji użytkownika, a zakres jest zmieniony.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest podatny na deserializację niezaufanych danych, co może prowadzić do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Wykorzystanie wymaga interakcji użytkownika, a zakres (scope) ulega zmianie.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest dotknięty podatnością niewłaściwej walidacji danych wejściowych, która może skutkować obejściem funkcji bezpieczeństwa. Atakujący może wykorzystać tę podatność do obejścia zabezpieczeń i uzyskania nieautoryzowanego dostępu do odczytu i zapisu. Eksploatacja nie wymaga interakcji użytkownika, a zakres jest niezmieniony.

ColdFusion w wersjach 2025.4, 2023.16, 2021.22 i wcześniejszych jest dotknięty podatnością nieograniczonego przesyłania plików o niebezpiecznym typie, co może prowadzić do wykonania dowolnego kodu przez atakującego z wysokimi uprawnieniami. Eksploatacja nie wymaga interakcji użytkownika, a zakres jest zmieniony.

ZITADEL to narzędzie infrastruktury tożsamości open-source. Wersje 4.7.0 i niższe są podatne na nieuwierzytelnioną podatność SSRF z pełnym odczytem. Interfejs logowania ZITADEL (V2) traktuje nagłówek x-zitadel-forward-host jako zaufany fallback dla wszystkich wdrożeń, w tym samodzielnie hostowanych instancji. Pozwala to nieuwierzytelnionemu atakującemu zmusić serwer do wykonywania żądań HTTP do dowolnych domen, takich jak adresy wewnętrzne, i odczytywania odpowiedzi, co umożliwia eksfiltrację danych i obejście kontroli segmentacji sieci. Problem został naprawiony w wersji 4.7.1.

Moduł Endpoint Manager w systemach FreePBX jest podatny na obejście uwierzytelnienia, gdy typ uwierzytelnienia jest ustawiony na 'webserver'. Umożliwia to powiązanie sesji z docelowym użytkownikiem przy użyciu nagłówka Authorization z dowolną wartością, niezależnie od poprawnych poświadczeń.

MailEnable w wersjach przed 10.54 zawiera podatność na odzwierciedlony atak XSS w parametrze WindowContext w /Mondo/lang/sys/Forms/MAI/compose.aspx. Wartość WindowContext nie jest odpowiednio sanityzowana i jest odzwierciedlana w kontekście skryptu, co pozwala atakującemu na wstrzyknięcie dowolnego kodu JavaScript.