Katalog podatności CVE

Wazuh to projekt open source do wykrywania zagrożeń, widoczności i zgodności. W wersjach od 4.9.0 do przed 4.13.0 API Wazuh – Agent Configuration w pewnych konfiguracjach pozwala uwierzytelnionym użytkownikom z rolami API tylko do odczytu na pobranie danych uwierzytelniających rejestracji agenta poprzez endpoint /utils/configuration.

Ta podatność umożliwia stronie internetowej przejście w tryb pełnoekranowy po kliknięciu użytkownika, bez wyświetlania powiadomienia o pełnym ekranie. Brak takiego powiadomienia może wprowadzać użytkowników w błąd co do tego, na jakiej stronie się znajdują, jeśli złośliwa strona wyświetli fałszywy interfejs użytkownika (np. fałszywy pasek adresu).

W wersji 0.18.0 RNP wystąpił regres w refaktoryzacji, który powoduje, że symetryczny klucz sesji używany dla pakietów Public-Key Encrypted Session Key (PKESK) pozostaje niezainicjowany, z wyjątkiem zera, co skutkuje tym, że zawsze jest to tablica bajtów wypełniona zerami. Jakiekolwiek dane zaszyfrowane przy użyciu szyfrowania kluczem publicznym w tej wersji mogą być łatwo odszyfrowane, co całkowicie kompromituje poufność.

Wtyczka S2B AI Assistant – ChatBot, ChatGPT, OpenAI, Content & Image Generator dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji storeFile(). Dotyczy to wszystkich wersji do 1.7.8 włącznie.

W Grafana w wersjach 12.x, gdy włączone jest provisionowanie SCIM, podatność w obsłudze tożsamości użytkowników pozwala złośliwemu lub skompromitowanemu klientowi SCIM na provisionowanie użytkownika z numerycznym externalId, co może umożliwić nadpisanie wewnętrznych identyfikatorów użytkowników i prowadzić do podszycia się lub eskalacji uprawnień.

W Terraform Enterprise wersje przed 1.1.1 i 1.0.3 pozwalają użytkownikowi z określonymi, ale niewystarczającymi uprawnieniami na tworzenie wersji stanu w workspace. Może to umożliwić zmianę infrastruktury, jeśli kolejna operacja planu zostanie zatwierdzona przez użytkownika z uprawnieniami do zatwierdzania lub automatycznie zastosowana.

Dostawca Terraform dla Vault nieprawidłowo ustawił domyślną wartość parametru deny_null_bind dla metody uwierzytelniania LDAP na false, co może prowadzić do niebezpiecznej konfiguracji. Jeśli serwer LDAP pozwala na anonimowe lub nieuwierzytelnione wiązania, może to skutkować obejściem uwierzytelniania. Luka jest naprawiona w Vault Terraform Provider v5.5.0.

Wtyczka Mstoreapp Mobile App dla WordPressa w wersjach do 2.08 oraz Mstoreapp Mobile Multivendor do 9.0.1 nie weryfikuje poprawnie tożsamości użytkowników podczas korzystania z akcji AJAX. Umożliwia to nieautoryzowanym użytkownikom uzyskanie ważnej sesji dla dowolnych użytkowników, znając ich adres e-mail.

Wtyczka Chat Help firmy ThemeAtelier zawiera podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.1.3 włącznie.

W podatności CVE-2025-66095 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości ataku typu SQL Injection w systemie zarządzania kliniką KiviCare. Problem dotyczy wersji KiviCare od n/a do 3.6.13.

Podatność CVE-2025-66073 dotyczy deserializacji niezaufanych danych w wtyczce WP Webhooks, co umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji WP Webhooks od n/a do 3.3.8 włącznie.

Wtyczka WP YouTube Lyte autorstwa Franka Goossensa do wersji 1.7.28 włącznie zawiera podatność na otwarte przekierowanie (Open Redirect), która umożliwia ataki phishingowe. Luka występuje w mechanizmie przekierowań URL.

Podatność na deserializację niezaufanych danych w wtyczce Icegram Email Subscribers & Newsletters umożliwia wstrzyknięcie obiektów. Problem ten dotyczy wersji wtyczki od n/a do 5.9.10 włącznie.

Wtyczka FluentCRM – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'fluentcrm_content' we wszystkich wersjach do 2.9.84 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'eh_crm_remove_agent' w wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym usunięcie roli i uprawnień dowolnego użytkownika z rolą Administrator, WSDesk Supervisor lub WSDesk Agents.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPress jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.2.9 włącznie poprzez 'eh_crm_ticket_single_view_client' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym odczyt zawartości wszystkich zgłoszeń wsparcia.

W jądrze Linux w serwerze NFS (NFSD) usunięto limit liczby operacji w żądaniu NFSv4 COMPOUND, co pozwala atakującemu na umieszczenie dowolnie dużej liczby operacji. Powoduje to ogromną alokację pamięci (np. 1.2 TB) i awarię systemu.

Wtyczka WP Directory Kit dla WordPressa jest podatna na atak typu SQL Injection poprzez parametr 'columns_search' funkcji select_2_ajax() we wszystkich wersjach do i włącznie z 1.4.3. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Magical Products Display dla WordPressa jest podatna na przechowywany atak XSS poprzez parametry 'mpdpr_title_tag' i 'mpdpr_subtitle_tag' w widżecie MPD Pricing Table we wszystkich wersjach do 1.1.29 włącznie. Podatność wynika z niedostatecznej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia dla nazw tagów HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się podczas ich odwiedzin.

Wtyczka Groundhogg dla WordPressa jest podatna na wstrzyknięcie SQL przez parametr 'term' we wszystkich wersjach do 4.2.6.1 włącznie. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem Administratora i wyższym dołączanie dodatkowych zapytań SQL w celu wyciągnięcia wrażliwych informacji z bazy danych.