Katalog podatności CVE

Jira Align ma problem z autoryzacją. Użytkownik o niskich uprawnieniach może uzyskać dostęp do nieoczekiwanych punktów końcowych, które ujawniają niewielką ilość wrażliwych informacji. Przykładowo, użytkownik o niskim poziomie uprawnień mógł subskrybować element/obiekt bez wymaganego poziomu uprawnień.

Jira Align ma podatność autoryzacji, która pozwala użytkownikowi z niskimi uprawnieniami na dostęp do nieoczekiwanych punktów końcowych ujawniających niewielką ilość wrażliwych informacji. Przykładowo, użytkownik o niskim poziomie uprawnień mógł odczytać kroki prywatnej listy kontrolnej innego użytkownika.

W Devolutions Server 2025.2.15.0 i wcześniejszych występuje nieprawidłowa walidacja danych wejściowych w API ignorowanych zadań Security Dashboard. Uwierzytelniony użytkownik może spowodować odmowę usługi dla Security Dashboard poprzez spreparowane żądanie.

Nieprawidłowa autoryzacja w przepływie tymczasowego dostępu w Devolutions Server 2025.2.12.0 i wcześniejszych pozwala uwierzytelnionemu podstawowemu użytkownikowi samodzielnie zatwierdzić lub zatwierdzić wnioski o tymczasowy dostęp innych użytkowników i uzyskać nieautoryzowany dostęp do sejfów i wpisów poprzez spreparowane żądania API.

Zapytania o rekordy w specjalnie przygotowanej strefie zawierającej nieprawidłowe rekordy DNSKEY mogą prowadzić do wyczerpania CPU. Problem ten dotyczy wersji BIND 9 od 9.18.0 do 9.18.39, 9.20.0 do 9.20.13, 9.21.0 do 9.21.12 oraz wersji S1 od 9.18.11 do 9.18.39 i od 9.20.9 do 9.20.13.

Podatność typu Cross-Site Scripting (XSS) w rozszerzeniu CookieConsent dla MediaWiki, należącym do Wikimedia Foundation. Dotyczy wersji od v0.1.0 przed v2.0.0. Podatność wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron.

W aplikacji Nautobot Single Source of Truth (SSoT) przed wersją 3.10.0 nieuwierzytelniony atakujący mógł uzyskać dostęp do strony ujawniającej publiczną nazwę instancji ServiceNow (np. companyname.service-now.com). Luka nie ujawnia sekretów, nazw sekretów ani wartości haseł. Problem został naprawiony w wersji 3.10.0.

W określonych okolicznościach, z powodu słabości generatora liczb pseudolosowych (PRNG), atakujący może przewidzieć port źródłowy i identyfikator zapytania (query ID), które BIND będzie używać. Problem dotyczy wersji BIND 9: 9.16.0-9.16.50, 9.18.0-9.18.39, 9.20.0-9.20.13, 9.21.0-9.21.12 oraz wersji -S1 odpowiednio.

W pewnych okolicznościach serwer BIND jest zbyt liberalny przy akceptowaniu rekordów z odpowiedzi, co pozwala atakującemu na wstrzyknięcie sfałszowanych danych do pamięci podręcznej. Problem dotyczy wielu wersji BIND 9.

W my little forum, przed wersją 2.5.12, występowała podatność na wstrzykiwanie SQL w funkcji porządkowania zakładek, która pozwalała zalogowanym użytkownikom na wykonywanie dowolnych poleceń SQL. Może to prowadzić do pełnego kompromitacji bazy danych aplikacji, w tym do odczytu, modyfikacji lub usunięcia wszystkich danych.

Brak autoryzacji w wtyczce MeetingHub firmy Sovlix. Problem dotyczy wersji od n/a do 1.23.9 włącznie.

Wtyczka Front End Users dla WordPressa ma podatność na brak autoryzacji, która dotyczy wersji do 3.2.33 włącznie. Problem umożliwia nieautoryzowany dostęp do funkcji, które powinny wymagać odpowiednich uprawnień.

Brak autoryzacji w wtyczce WowRevenue firmy WPXPO. Problem dotyczy wersji od n/a do 1.2.13 włącznie.

Wtyczka WordPress MDTF (wp-meta-data-filter-and-taxonomy-filter) jest podatna na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od n/a do <= 1.3.3.8.

Wtyczka WordPress WP Travel Gutenberg Blocks (wp-travel-blocks) jest podatna na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od n/a do <= 3.9.2.

Wtyczka ThemeRuby Easy Post Submission (easy-post-submission) do wersji 1.7.0 włącznie ma podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych danych wrażliwych.

Wtyczka Product Catalog Simple dla WordPress zawiera podatność na Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji do 1.8.4 włącznie.

Wtyczka WordPress Tab Ultimate (tabs-pro) jest podatna na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od n/a do <= 1.8.

Wtyczka WordPress Houzez Theme - Functionality (houzez-theme-functionality) jest podatna na atak typu Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od n/a do < 4.2.0.

Podatność CVE-2025-62054 dotyczy niewłaściwej kontroli nazw plików w instrukcjach Include/Require w programie PHP, co prowadzi do możliwości zdalnego dołączenia plików. Problem ten występuje w motywie Houzez w wersjach od n/a do 4.1.8.