Katalog podatności CVE

Tornado przed wersją 6.5.9 nie ogranicza liczby pól ciągu zapytania w HTTPServerRequest.__init__, co umożliwia zdalnym atakującym spowodowanie zablokowania pętli zdarzeń poprzez wysyłanie żądań z tysiącami parametrów zapytania. Atakujący mogą wysyłać nieuwierzytelnione żądania GET z nieograniczoną liczbą pól ciągu zapytania, aby pogorszyć czasy odpowiedzi dla wszystkich klientów korzystających z tego samego IOLoop.

Wersje n8n przed 2.39.6 oraz 2.40.0 przed 2.40.1 zawierają podatność polegającą na obejściu procesu zatwierdzania w węźle Send and Wait w trybie Approve Within Chat. Atakujący mogą wysyłać żądania wznowienia bez weryfikacji tożsamości lub uprawnień do zatwierdzania, co pozwala nieuwierzytelnionym użytkownikom na kontynuowanie oczekujących egzekucji i wyzwalanie chronionych akcji.

Wersje n8n przed 2.39.6 oraz 2.40.0 przed 2.40.1 zawierają podatność polegającą na niepoprawnym interpolowaniu parametrów w węzłach SendGrid, Freshservice i ServiceNow, co pozwala atakującym na ominięcie filtrów przez wyrwanie się z literałów zapytań. Atakujący mogą wykorzystać to, wiążąc podatne parametry węzłów z niezaufanymi danymi zewnętrznymi, aby rozszerzyć pojedyncze wyszukiwania na zapytania dopasowujące wszystko, ujawniając duże ilości danych, w tym listy kontaktów, zgłoszenia i wpisy katalogowe.

Wersje n8n przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 zawierają podatność typu path traversal w generowaniu podpisanych URL-i wznowienia dla zatwierdzeń Send-and-Wait. Atakujący z uprawnieniami do tworzenia workflow mogą tworzyć prawidłowe URL-e zatwierdzeń dla bramek w projektach, do których nie mają dostępu, wykorzystując nierozwiązane sekwencje traversal w kontrolowanych przez wywołującego identyfikatorach węzłów, co umożliwia fałszowanie zatwierdzeń między projektami.

Wersje n8n przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 nie weryfikują poprawnie podpisu HMAC x-webflow-signature w webhooku węzła Webflow Trigger. Nieuwierzytelnieni atakujący mogą wysyłać sfałszowane żądania webhook z kontrolowanymi danymi, aby wyzwalać workflow i manipulować akcjami downstream, takimi jak tworzenie rekordów czy wywołania API.

Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

W oauth-proxy stwierdzono błąd polegający na nieprawidłowej walidacji parametru przekierowania docelowego (`rd`) podczas przekierowania po zalogowaniu. Zdalny atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia specjalnie spreparowanego linku, co skutkuje przekierowaniem użytkownika na dowolną zewnętrzną stronę po uwierzytelnieniu. To otwarte przekierowanie może być wykorzystane do ataków phishingowych lub kradzieży poświadczeń.

CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.

CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.

CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.

CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.

Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.

W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametr 'gdpr-data' we wszystkich wersjach do 6.4.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta przeciwko innym kontom, ponieważ handlery AJAX akceptują dowolny identyfikator gdpr-user bez weryfikacji, czy należy do żądającego, a wymagany nonce wpas-gdpr-nonce jest emitowany przez wp_localize_script do każdego zalogowanego użytkownika na stronach wtyczki i na /wp-admin/profile.php.