Katalog podatności CVE

W systemie zamówień online w wersji 1.0 odkryto krytyczną podatność, która dotyczy nieznanej funkcji w pliku /admin/delete_user.php. Manipulacja argumentem ID prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w Engeman Web do wersji 12.0.0.2, która dotyczy nieznanej funkcji w pliku /Login/RecoveryPass na stronie odzyskiwania hasła. Manipulacja argumentem LanguageCombobox w ciasteczku prowadzi do możliwości wstrzyknięcia SQL.

W systemie zarządzania przesyłkami ABC Courier Management System w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem ID w pliku /getbyid.php prowadzi do wstrzykiwania SQL, co umożliwia zdalne przeprowadzenie ataku.

Motyw kallyas dla WordPressa jest podatny na atak Local File Inclusion we wszystkich wersjach do 4.21.0 włącznie, poprzez widget 'TH_LatestPosts4'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej do dołączenia i wykonania dowolnych plików .php na serwerze.

Motyw Kallyas dla WordPressa jest podatny na nieautoryzowane usuwanie folderów z powodu niewystarczającej walidacji ścieżek plików w funkcji delete_font(). Podatność ta dotyczy wszystkich wersji do i włącznie z 4.21.0.

Motyw MinimogWP – The High Converting eCommerce WordPress Theme dla WordPress jest podatny na manipulację cenami we wszystkich wersjach do 3.9.0 włącznie. Problem wynika z niewystarczającej weryfikacji wartości ilości przy zmianie ilości w koszyku.

W systemie zarządzania wyszukiwarką usług PHPGurukul w wersji 2.1 odkryto krytyczną podatność. Manipulacja argumentem editid w pliku /admin/changeimage.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

Wtyczka Melapress Login Security dla WordPressa jest podatna na obejście uwierzytelniania z powodu braku autoryzacji w funkcji get_valid_user_based_on_token() w wersjach od 2.1.0 do 2.1.1. Umożliwia to nieautoryzowanym atakującym, którzy znają dowolną wartość meta użytkownika, ominięcie kontroli uwierzytelniania i zalogowanie się jako ten użytkownik.

W repozytorium tj-actions/branch-names, które zawiera workflow do pobierania nazw gałęzi lub tagów, zidentyfikowano krytyczną podatność w wersjach 8.2.1 i poniżej. Umożliwia ona wykonanie dowolnych poleceń w downstream workflows z powodu niespójnej sanitizacji wejścia i nieodpowiednio zabezpieczonego wyjścia.

Wtyczka GeoDirectory – WP Business Directory oraz Classified Listings Directory dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr dist we wszystkich wersjach do 2.8.97 włącznie. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

W systemie zarządzania przesyłkami ABC Courier Management System w wersji 1.0 odkryto krytyczną podatność. Manipulacja argumentem reciver_name w pliku /Add_reciver.php prowadzi do wstrzyknięcia SQL, co może być wykorzystane przez atakującego zdalnie.

W systemie darowizn kościelnych w wersji 1.0 odkryto krytyczną podatność. Problem dotyczy nieznanej funkcji w pliku /admin/index.php, która obsługuje żądania HTTP POST. Manipulacja argumentem 'Username' prowadzi do wstrzykiwania SQL.

Podatność typu Server-Side Request Forgery (SSRF) w Salesforce Tableau Server na systemach Windows i Linux (moduły Amazon S3 Connector) umożliwia fałszowanie lokalizacji zasobów. Problem ten dotyczy Tableau Server w wersjach przed 2025.1.3, 2024.2.12 oraz 2023.3.19.

W bibliotece libssh wykryto błąd w dekodowaniu wiadomości serwera SFTP. Nieprawidłowe sprawdzenie długości pakietu umożliwia przepełnienie liczb całkowitych na systemach 32-bitowych podczas obsługi dużych rozmiarów danych. Prowadzi to do nieudanej alokacji pamięci i awarii procesu serwera, powodując odmowę usługi.

Podatność Cross Site Scripting (XSS) w wtyczce Live Chat tawk.to w wersji 1.6.1 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem wynika z braku walidacji i kodowania danych wejściowych dostarczanych przez użytkownika, które są przechowywane i wyświetlane przez aplikację.

Oprogramowanie układowe Gardyn Home Kit przed wersją master.619, aplikacja mobilna Home Kit przed wersją 2.11.0 oraz API chmurowe Home Kit przed wersją 2.12.2026 umożliwiają wstrzykiwanie poleceń przez podatne metody, które nie oczyszczają danych wejściowych przed przekazaniem ich do systemu operacyjnego do wykonania. Ta podatność może pozwolić atakującemu na wykonanie dowolnych poleceń systemowych na docelowym urządzeniu Home Kit.

Oprogramowanie układowe Gardyn Home Kit przed wersją master.619, aplikacja mobilna Home Kit przed wersją 2.11.0 oraz API chmurowe Home Kit przed wersją 2.12.2026 używają słabych domyślnych poświadczeń do dostępu przez secure shell. Może to prowadzić do uzyskania dostępu przez atakujących do narażonych urządzeń Gardyn Home Kit.

W oprogramowaniu układowym Gardyn Home Kit przed wersją master.619, aplikacji mobilnej Home Kit przed wersją 2.11.0 oraz API chmurowego Home Kit przed wersją 2.12.2026, ciąg połączenia z Gardyn Azure IoT Hub jest pobierany przez niezabezpieczone połączenie HTTP. To naraża ciąg na przechwycenie i modyfikację w ataku typu Man-in-the-Middle.

W EmbedThis GoAhead w wersji 2.5 występuje podatność na wstrzykiwanie HTML poprzez parametr name w goform/formTest. Atakujący może wykorzystać tę lukę do wprowadzenia złośliwego kodu HTML.

W jądrze Linux stwierdzono, że uprobes mogą być używane destrukcyjnie, gdy są stosowane w środku instrukcji. Ponieważ jądro nie jest w stanie określić, czy dany bajt jest rzeczywiście instrukcją w kontekście wykonywanego strumienia, przywrócono wymóg posiadania CAP_SYS_ADMIN dla uprobes.