Katalog podatności CVE

Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka WP Grid Builder dla WordPressa do wersji 2.3.3 włącznie zawiera lukę umożliwiającą eskalację uprawnień. Brak autoryzacji i walidacji klucza meta w punkcie końcowym REST API `/wp-json/wpgb/v2/metadata` pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta lub wyższym na podniesienie swoich uprawnień do Administratora poprzez aktualizację własnego meta użytkownika `wp_capabilities` za pomocą spreparowanego zagnieżdżonego ładunku tablicy.

Spinnaker przed wersjami 2026.1.1, 2026.0.3, 2025.4.4 i 2025.3.4 zawiera podatność w operacjach Kustomize bake, która umożliwia niebezpieczne przetwarzanie znaczników YAML w manifestach rosco. Może to prowadzić do zdalnego wykonania kodu na podach rosco podczas wykonywania Kustomize bake.

Podatność pozwala na nawiązywanie wielu połączeń z backendem przy użyciu tego samego identyfikatora stacji ładowania. Umożliwia to atakującemu uruchomienie wielu instancji złośliwych klientów OCPP w celu przeciążenia backendu.

W backendzie stacji ładowania brakowało ograniczenia liczby powtarzanych prób uwierzytelnienia, co umożliwiało atakującemu przeprowadzenie ataku typu Denial of Service (DoS).

Podatność w frameworku Phalcon przed wersją 5.15.0 powoduje, że domyślny router MVC używa skompilowanego wzorca PCRE z zagnieżdżonym kwantyfikatorem, co umożliwia atakującemu wywołanie katastroficznego cofania (catastrophic backtracking) poprzez spreparowane żądanie URI zawierające powtarzające się ukośniki i znaki nowej linii. Prowadzi to do wyczerpania zasobów CPU lub niepowodzenia dopasowania trasy.

Podatność w Tilt od wersji 0.24.0 do 0.37.3 umożliwia atakującemu dostęp do strumienia widoku HUD przez WebSocket, pomimo zabezpieczenia CSRF. Token CSRF jest serwowany przez nieuwierzytelniony endpoint, a serwer akceptuje połączenia bez nagłówka Origin, co pozwala na przejęcie danych sesji, plików Tiltfile i statusów zasobów.

Tilt HUD serwer montuje nieautoryzowane handlery pprof pod ścieżką /debug, co pozwala nieuwierzytelnionemu atakującemu na odczyt pamięci procesu (w tym tokenów sesji i API) oraz degradację wydajności. Podatność dotyczy wersji od 0.19.5 do 0.37.3.

W frameworku Frappe przed wersjami 16.23.0 i 15.112.0 wykryto podatność TarSlip RCE podczas importu pakietów. Brak wystarczającego sprawdzania członków archiwum tar przed ekstrakcją umożliwiał zdalne wykonanie kodu.

Wtyczka Plotly.js Graphing dla Drupala zawiera podatność na wstrzykiwanie obiektów poprzez nieprawidłowo kontrolowaną modyfikację dynamicznie określanych atrybutów obiektów. Problem dotyczy wersji od 0.0.0 do 3.0.2.

Podatność w module Flag attendance field dla Drupala umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 1.2.

Podatność w frameworku Phalcon przed wersją 5.14.1 polega na tym, że funkcja Phalcon\Encryption\Crypt::decrypt porównuje dostarczony przez atakującego znacznik HMAC z nowo wyliczonym HMAC za pomocą porównania bajt po bajcie, które kończy się na pierwszej różnicy. Ta obserwowalna różnica czasowa umożliwia atakującemu odzyskanie prawidłowego znacznika bajt po bajcie i dołączenie go do wybranego IV i ciphertextu, przez co decrypt() akceptuje zmodyfikowaną treść jako autentyczną.

ModSecurity przed wersją 3.0.16 zawiera podatność w parserze multipart/form-data, która powoduje ciche usuwanie znaków nowej linii z wartości pól formularza niebędących plikami. Dzieje się tak, ponieważ kod nadpisuje zarezerwowane bajty zamiast dołączać bieżący bufor, co prowadzi do różnic w parsowaniu między ModSecurity a aplikacjami backendowymi.

W systemie Frappe przed wersją 16.19.0 stwierdzono podatność na pominięcie autoryzacji w punkcie końcowym update_page w obszarze Workspace. Publiczne obszary robocze nie przechodziły wymaganej kontroli edycji przez menedżera obszaru roboczego.

Podatność SSRF w TypeBot przed wersją 3.17.2 pozwala na ominięcie walidatora adresów URL poprzez użycie adresu IPv6 :: (nieokreślony). Osoba z rolą edytora lub twórcy przestrzeni roboczej może skonfigurować blok żądania HTTP lub skrypt fetch po stronie serwera, co umożliwia połączenie z lokalnymi usługami HTTP.

Podatność w Spinnaker umożliwia zdalne wykonanie kodu poprzez niebezpieczne przetwarzanie YAML podczas korzystania z CloudFormation lub CloudFoundry. Użycie niebezpiecznego konstruktora pozwala na ładowanie dowolnych klas Java, co prowadzi do zdalnego wykonania kodu.

W frameworku Frappe przed wersją 16.18.3 wykryto podatność na path traversal i lokalne dołączanie plików poprzez bezpieczny dostęp do lokalnych zasobów w generatorze PDF Chrome.

Wtyczka Location Selector dla Drupala zawiera podatność na wstrzykiwanie SQL (SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wszystkich wersji od 0.0.0 do 1.3.0.

Podatność w module Drupal Tealium iQ Tag Management umożliwia niekontrolowaną modyfikację dynamicznie określonych atrybutów obiektów, co prowadzi do wstrzykiwania obiektów. Problem dotyczy wersji od 0.0.0 do 2.4.0.

Podatność w sterowniku GPU umożliwia nieuprzywilejowanemu użytkownikowi wykonanie sekwencji nieprawidłowych wywołań systemowych GPU, prowadzących do użycia po zwolnieniu (use-after-free). Ułatwia to nieautoryzowany dostęp do pamięci z poziomu kodu shadera.