Katalog podatności CVE

Wtyczka WordPress Easy Email Subscription we wszystkich wersjach do 1.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji show_editsub_page(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych subskrybentów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Wtyczka Easy Email Subscription dla WordPressa (wszystkie wersje do 1.3 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'uid' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.

ClipBucket v5 to otwarta platforma do udostępniania wideo. Wersje od 5.5.2 - #151 i starsze pozwalają uwierzytelnionym administratorom z uprawnieniami do zarządzania wtyczkami na wykonywanie dowolnych poleceń SQL na bazie danych poprzez wtyczkę ClipBucket Custom Fields. Podatność wymaga zainstalowania i dostępności wtyczki Custom Fields i może być wykorzystana tylko przez użytkowników z dostępem administracyjnym do interfejsu wtyczki. Problem został naprawiony w wersji 5.5.2 - #.

Nieprawidłowa autoryzacja w middleware autoryzacji API HCL DevOps Loop pozwala na akceptację tokenów autoryzacyjnych bez odpowiedniej weryfikacji ich ważności i podpisu kryptograficznego. W rezultacie, atakujący może wykorzystać wygasłe lub zmanipulowane tokeny do uzyskania nieautoryzowanego dostępu do wrażliwych zasobów oraz wykonywania działań z podwyższonymi uprawnieniami.

Nieprawidłowe zarządzanie tokenem uwierzytelniającym w kliencie Amazon WorkSpaces dla systemu Linux, wersje 2023.0 do 2024.8, może ujawniać token uwierzytelniający dla WorkSpaces opartych na DCV innym lokalnym użytkownikom na tej samej maszynie klienckiej. W pewnych okolicznościach lokalny użytkownik może być w stanie wyodrębnić token uwierzytelniający innego lokalnego użytkownika z współdzielonej maszyny klienckiej i uzyskać dostęp do ich WorkSpace.

Apple naprawiło problem polegający na tym, że atakujący z fizycznym dostępem do zablokowanego urządzenia może wyświetlić poufne informacje użytkownika. Luka została załatana poprzez ograniczenie opcji dostępnych na zablokowanym urządzeniu. Poprawka jest dostępna w iOS 18.7.2, iPadOS 18.7.2, iOS 26.1 i iPadOS 26.1.

Tonec Internet Download Manager w wersji 6.42.41.1 i wcześniejszych nie weryfikuje poprawności certyfikatów SSL, co umożliwia atakującym ominięcie zabezpieczeń aktualizacji.

Podatność w komponencie zarządzania użytkownikami ZwiiCMS do wersji 13.6.07 umożliwia zdalnemu, uwierzytelnionemu atakującemu eskalację uprawnień. Wysyłając specjalnie spreparowane żądanie HTTP, użytkownik o niskich uprawnieniach może uzyskać dostęp i modyfikować dane profilu dowolnego innego użytkownika, w tym administratorów.

Serwer pocztowy MDaemon w wersji 23.5.2 weryfikuje SPF, DKIM i DMARC na podstawie adresu e-mail umieszczonego w nagłówku From: w formacie SMTP DATA. Atakujący może stworzyć nagłówek From: z wieloma niewidocznymi znakami Unicode, co pozwala na fałszowanie nadawcy, mimo że zabezpieczenia przed fałszowaniem są aktywne.

Wtyczka Premium Portfolio Features dla motywu Phlox w WordPressie jest podatna na atak Local File Inclusion we wszystkich wersjach do 2.3.10 włącznie, poprzez parametr 'args[extra_template_path]'. Umożliwia to nieautoryzowanym atakującym dołączanie i wykonywanie dowolnych plików .php na serwerze.

Control-M/Agent jest podatny na zdalne wykonanie kodu bez uwierzytelnienia, nieautoryzowany odczyt i zapis plików oraz podobne działania, gdy mutualne uwierzytelnianie SSL/TLS nie jest włączone (tj. w domyślnej konfiguracji).

Wtyczka KiotViet Sync dla WordPressa jest podatna na nieautoryzowane przesyłanie plików z powodu braku walidacji typu pliku w funkcji create_media() we wszystkich wersjach do i włącznie z 1.8.5. Umożliwia to nieautoryzowanym atakującym przesyłanie dowolnych plików na serwerze dotkniętej witryny.

W Red Hat Satellite (komponent Foreman) znaleziono lukę, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edytowania ustawień na wykonanie dowolnych poleceń na systemie operacyjnym. Problem wynika z niewystarczającej walidacji po stronie serwera dotyczącej białej listy poleceń.

Wtyczka Document Embedder – Embed PDFs, Word, Excel, and Other Files dla WordPressa jest podatna na nieautoryzowany dostęp, modyfikację oraz utratę danych we wszystkich wersjach do i włącznie z 2.0.0. Problem wynika z braku odpowiedniej weryfikacji uprawnień użytkownika w funkcjach 'bplde_save_document_library', 'bplde_get_all', 'bplde_get_single' oraz 'bplde_delete_document_library'.

Wtyczka File Manager for Google Drive – Integrate Google Drive with WordPress jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do i włącznie z 1.5.3 poprzez funkcję 'get_localize_data'. Umożliwia to nieautoryzowanym atakującym wydobycie wrażliwych danych, w tym poświadczeń Google OAuth oraz adresów e-mail kont Google.

Wtyczka AI Engine dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.1.3 włącznie, poprzez punkt końcowy REST API /mcp/v1/, który ujawnia wartość 'Bearer Token' przy włączonym 'No-Auth URL'.

Wtyczka The Events Calendar dla WordPressa jest podatna na ślepą injekcję SQL poprzez parametr 's' w wersjach od 6.15.1.1 do 6.15.9. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W edytorze kodu Cursor, w wersjach do 2025.09.17-25b418f, występuje podatność, która umożliwia zdalne wykonanie kodu poprzez mechanizm serwera MCP. Atakujący może przesłać złośliwą konfigurację MCP w pliku .cursor/mcp.json w repozytorium GitHub, co prowadzi do natychmiastowego uruchomienia złośliwego serwera MCP po sklonowaniu projektu przez ofiarę.

Tencent Docs Desktop w wersji 3.9.20 i wcześniejszych ma problem z brakiem walidacji certyfikatu SSL w komponencie aktualizacji. To może prowadzić do potencjalnych ataków typu man-in-the-middle.