Katalog podatności CVE

Cloud Commander w wersjach 19.20.2 do 19.21.1 zawiera podatność na przechodzenie po ścieżkach w punkcie GET /api/v1/pack, gdzie handler onGET wywołuje niechronioną funkcję root() zamiast walidującego wrappera root.resolve(). Atakujący może użyć zakodowanych procentowo sekwencji przechodzenia po katalogach, aby odczytać dowolne pliki poza skonfigurowanym katalogiem --root, takie jak /etc/passwd lub klucze prywatne SSH, które są archiwizowane i przesyłane jako plik tar.gz.

Wtyczka JetEngine od Crocoblock do wersji 3.8.16 zawiera podatność na DOM-Based Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Wtyczka Polylang od WP SYNTEX do wersji 3.8.9 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Radar przed wersją 1.12.2 zawiera podatność na brak autoryzacji w punkcie WebSocket /api/local-terminal, która pozwala uwierzytelnionym lub nieuwierzytelnionym atakującym na uruchomienie uprzywilejowanej powłoki, opierając się tylko na sprawdzeniu trybu runtime zamiast kontroli dostępu opartej na rolach. Atakujący mogą połączyć się z punktem, aby wykonać /bin/bash -l na hoście Radar z uprawnieniami Radar, nawet gdy ustawiono flagę --disable-local-terminal.

Wtyczka JetProductTables od Crocoblock do wersji 1.2.4 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Wtyczka Paid Videochat Turnkey Site od VideoWhisper.com do wersji 7.5.12 zawiera podatność na brak autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

Wtyczka Broadcast Live Video od VideoWhisper.com do wersji 7.3.2 zawiera podatność na fiksację sesji (Session Fixation), która umożliwia przechwycenie sesji użytkownika.

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).

Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Google Cloud Application Integration przed wersją 2026-08-27 zawiera podatność na nieprawidłową autoryzację w walidacji AuthConfig i środowisku wykonawczym integracji, która pozwala uwierzytelnionemu użytkownikowi na eskalację uprawnień i podszycie się pod konto usługi w projekcie. Podatność została załatana 27 sierpnia 2026 roku i nie wymaga działań ze strony klienta.

W komponencie HPE NonStop SNMP Trap Multiplexer wykryto lukę bezpieczeństwa, która może umożliwić zdalne wykonanie kodu. Szczegóły techniczne nie zostały podane w opisie.

W komponencie HPE NonStop DNS 9.2.3 Non Secure Version wykryto lukę bezpieczeństwa, która może powodować odmowę usługi (Denial of Service). Szczegóły techniczne nie zostały podane w opisie.

Podatność nieprawidłowego uwierzytelniania w mechanizmie wieloskładnikowego uwierzytelniania (MFA) w TSplus Remote Access. Zdalny atakujący uwierzytelniony prawidłowymi danymi pierwszego czynnika może ominąć weryfikację drugiego czynnika, ponieważ przepływ uwierzytelniania niepoprawnie stosuje wynik walidacji MFA, co pozwala atakującemu na ukończenie logowania bez ważnego tokena drugiego czynnika i uzyskanie dostępu do chronionych aplikacji i zasobów.

Podatność w serwerze WWW TSplus Remote Access dotyczy niewłaściwej kontroli dostępu. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wewnętrznych zasobów, manipulując ścieżkami przez endpoint /socket.io/JWN/, omijając ograniczenia dostępu.

Podatność braku autoryzacji w JetFormBuilder od Crocoblock pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 3.6.6 włącznie.

Podatność SQL Injection w Modern Events Calendar Lite od Webnus umożliwia ślepą iniekcję SQL. Dotyczy wersji przed 7.37.0.

Podatność w insights-runtime-extractor pozwala nieuprzywilejowanemu tenantowi na przejęcie kontroli nad węzłem. Proces skanujący nie obniża wystarczająco uprawnień (tylko seteuid, bez zmiany ruid/suid i bez usunięcia capabilities), a następnie wykonuje binarkę kontrolowaną przez workload z uprawnieniami roota w przestrzeni nazw hosta. Atakujący może wykorzystać to do uzyskania pełnego dostępu do węzła przez socket CRI-O.

Podatność w JTL-Shop dotyczy middleware uwierzytelniania w panelu administracyjnym, który przetwarza przełącznik trybu bezpiecznego pluginów na ścieżce wylogowania przed sprawdzeniem uwierzytelnienia. Nieuwierzytelniony atakujący może przełączać tryb bezpieczny pluginów, dezaktywując wszystkie wtyczki i powodując denial of service w całym sklepie.

Podatność polegająca na wstrzyknięciu kodu w Email Template Customizer for WooCommerce od VillaTheme. Dotyczy wersji do 1.3.4 włącznie.

Podatność w NSD dotyczy tokenów tekstu w RDATA (np. rekordów TXT) o długości poniżej 32 bajtów, które nie są sprawdzane pod kątem pozostania w zarezerwowanym obszarze, co pozwala na zapisy poza stosem o dowolnym rozmiarze, w tym nadpisanie wskaźnika funkcji wywołania zwrotnego.