Katalog podatności CVE

Wtyczka WordPress BuildKit w wersji przed 1.0.29 nie sanityzuje i nie escapuje prawidłowo danych przesyłanych przez użytkowników z poziomem współpracownika przed ich zapisaniem i późniejszym użyciem w zapytaniu SQL. Umożliwia to współpracownikowi wstrzyknięcie SQL, który zostanie wykonany na bazie danych, gdy wynikowa treść zostanie opublikowana i wyświetlona przez dowolnego nieuwierzytelnionego odwiedzającego.

Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.

Wtyczka WordPress Request a Quote w wersji do 2.5.6 nie wykonuje sprawdzenia autoryzacji w jednym ze swoich nieuwierzytelnionych handlerów AJAX. Umożliwia to nieuwierzytelnionym użytkownikom odczytanie rekordów kontaktowych zgłoszeń wyceny, w tym rekordów, których witryna nie opublikowała.

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.

Wtyczka Popup Maker do WordPressa w wersji do 1.4.5 nie sprawdza uprawnień w jednej z akcji związanych z połączeniem konta, weryfikując jedynie nonce. Umożliwia to uwierzytelnionym użytkownikom z minimalnymi uprawnieniami, takim jak subskrybenci, nadpisanie opcji całej witryny (powiązanego konta usługi i konfiguracji API), która powinna być modyfikowalna tylko przez administratorów.

Motyw Avada dla WordPressa (Website Builder For WordPress & WooCommerce) jest podatny na odzwierciedlony Cross-Site Scripting (XSS) przez parametr 'lang' we wszystkich wersjach do 7.16.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie weryfikuje, czy callbacki płatności rzeczywiście pochodzą od dostawcy płatności, gdy klucz tajny nie został skonfigurowany (stan tuż po aktywacji). Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień, w tym oznaczenie nieopłaconych jako opłacone i zmniejszenie stanu magazynowego.

Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.

Wtyczka Tabs Responsive dla WordPressa do wersji 2.5 nie sanityzuje treści zakładek produktów WooCommerce przed ich zapisaniem i wyświetleniem, co pozwala menedżerowi sklepu na przechowywanie JavaScript, który wykonuje się, gdy jakikolwiek użytkownik, w tym administrator, przegląda stronę produktu.

Niewłaściwa kontrola dostępu w ManagedProvisioning przed SMR Sep-2026 Release 1 pozwala lokalnym atakującym na instalowanie dowolnych aplikacji.

Wykryto lukę bezpieczeństwa w calcom cal.diy do wersji 6.2.0. Dotyczy ona funkcji doesUserIdHaveAccessToBooking w pliku BookingAccessService.ts komponentu PBAC Permission Engine. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Pull request z poprawką oczekuje na akceptację.

Zidentyfikowano podatność w itsourcecode Pet Shop Management System 1.0. Dotyczy ona nieznanej funkcji w pliku admin_reservefilter.php. Manipulacja argumentem filter prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W itsourcecode Pet Shop Management System 1.0 stwierdzono podatność. Dotyczy ona nieznanej funkcji w pliku admin_reject_completed.php. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Silnik transferowy Mooncake do wersji 0.3.13.post1 zawiera podatność na odmowę usługi, która pozwala nieuwierzytelnionym zdalnym atakującym zablokować demona handshake przez nigdy nieodczytywanie odpowiedzi. Atakujący mogą wysłać żądanie Metadata na port RPC handshake i zatrzymać pojedynczy wątek nasłuchujący SocketHandShakePlugin w funkcji writeFully(), przerywając wszystkie kolejne handshake, pobieranie metadanych, żądania notify i probe.

Office-PowerPoint-MCP-Server do wersji 2.0.7 zawiera podatność typu path traversal, która pozwala wywołującym MCP na zapisywanie i odczytywanie plików poza katalogiem roboczym poprzez podawanie ścieżek bezwzględnych lub sekwencji ../. Atakujący mogą wykorzystać wstrzyknięcie promptu do agenta AI, aby nadużyć funkcji save_presentation, open_presentation lub manage_image output_path w celu nadpisania dowolnego pliku zapisywalnego przez serwer lub wczytania zewnętrznych plików.

Podatność typu Cross-Site Scripting (XSS) w CAPEC-63 przed wersją 3.0b63 wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (CWE-79). Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu do stron, który wykona się w przeglądarce ofiary.

Podatność typu External Control of File Name or Path w Johnson Controls EasyIO FS32 przed wersją 3.0b63 umożliwia atak typu path traversal. Pozwala to atakującemu na manipulowanie ścieżkami plików w celu uzyskania dostępu do plików poza zamierzonym katalogiem.

Podatność polegająca na niebezpiecznym domyślnym inicjalizowaniu zasobów w Johnson Controls EasyIO FS32 przed wersją 3.0b63 umożliwia nadużycie uwierzytelniania. Może to pozwolić atakującemu na wykorzystanie domyślnych ustawień do nieautoryzowanego dostępu.

Podatność polegająca na ujawnieniu wrażliwych informacji w Johnson Controls Easy IO Neo przed wersją 3.3b63 umożliwia zbieranie danych z typowych lokalizacji zasobów. Atakujący może wykorzystać tę podatność do uzyskania dostępu do poufnych danych przechowywanych w systemie.

infiniflow ragflow 0.25.3 zawiera nieprawidłową kontrolę dostępu w funkcji resume (api/apps/connector_app.py). W zależności od wystawionego punktu wejścia, atakujący może przeprowadzić nieautoryzowane operacje między sesjami lub z podniesieniem uprawnień.