Katalog podatności CVE

W Cesanta Mongoose przed wersją 7.22 wykryto podatność polegającą na odczycie poza dozwolonym zakresem w funkcji mg_tls_server_recv_hello(). Atakujący może wysłać spreparowane ClientHello z nadmierną długością identyfikatora sesji, co prowadzi do odczytu poza buforem i awarii usług HTTPS, MQTTS lub WSS.

W Zeek przed wersją 8.0.9 wykryto podatność na dereferencję pustego wskaźnika w analizatorze protokołu Kerberos. Nieuwierzytelniony atakujący zdalnie może wysłać spreparowany pakiet KRB_ERROR z kodem błędu 25 (KDC_ERR_PREAUTH_REQUIRED) zawierający element PA-DATA z typem 2, 3, 11 lub 19, co powoduje crash sensora.

Podatność w analizatorze FTP Zeek przed wersją 8.0.9 pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie zakończenia procesu poprzez wysłanie spreparowanej sesji FTP negocjującej AUTH GSSAPI, a następnie dużej linii kontrolnej ADAT. Brak sprawdzania maksymalnej długości linii w komponencie NVT_Analyzer prowadzi do niekontrolowanego podwajania wewnętrznego bufora podczas dekodowania base64 tokena ADAT, co skutkuje odmową usługi sensora Zeek.

Podatność SQL Injection w rozszerzeniu AcyMailing dla Joomla w wersjach poniżej 10.11.1 umożliwia nieautoryzowany dostęp do bazy danych i wyciek danych.

Podatność w systemach CPCI85 Central Processing/Communication i SICORE Base (wersje przed V26.20/V26.20.0) wynika z niewystarczającej walidacji danych uwierzytelniających podczas modyfikacji kont administracyjnych przez API webowe. Umożliwia to uwierzytelnionemu atakującemu ominięcie kontroli bezpieczeństwa i nieautoryzowane podniesienie uprawnień.

Podatność na wstrzykiwanie LDAP w produkcie PassGate firmy PEAKUP Technology Inc. umożliwia atakującemu manipulację zapytaniami LDAP poprzez niewłaściwe neutralizowanie specjalnych elementów. Luka występuje we wszystkich wersjach PassGate do 30 kwietnia 2026 roku.

Wewnętrzny i nieudokumentowany endpoint API Dashboardu (POST /api/users/~/{user}/tokens) nie sprawdzał wystarczających uprawnień przy tworzeniu tokena API dla innego użytkownika. Atakujący znający login uprzywilejowanego użytkownika wewnętrznego i uwierzytelniony przez OAuth/OIDC mógł sfałszować żądanie utworzenia tokena w jego imieniu.

Wtyczka WP Cost Estimation & Payment Forms Builder (E&P Forms) dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'customerInfos' we wszystkich wersjach do 10.5.97 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka DTLS w GStreamer zawiera podatność na przepełnienie bufora stosu. Podczas uzgadniania DTLS nazwa wyróżniająca (Subject DN) certyfikatu równorzędnego jest kopiowana do 2048-bajtowego bufora na stosie bez sprawdzania granic. Zdalny, nieuwierzytelniony atakujący może wysłać certyfikat z nadmiernie długim Subject DN, powodując przepełnienie bufora i awarię procesu.

Wtyczka rfbsrc w GStreamer zawiera podatność na przepełnienie bufora sterty. Podczas łączenia się klienta ze złośliwym serwerem RFB/VNC, który reklamuje bufor ramki 16bpp i wysyła aktualizacje zakodowane w Hextile, ścieżka wypełnienia tła Hextile zapisuje 32-bitowe wartości pikseli do bufora przeznaczonego dla 16-bitowych pikseli. Ta niezgodność typów powoduje zapis poza granicami sterty, co może prowadzić do odmowy usługi (awaria procesu) i potencjalnego uszkodzenia pamięci.

SOPlanning zawiera podatność na wstrzykiwanie SQL w konfiguracji przechowywania audytu. Atakujący z uprawnieniami parameters_all może wstrzyknąć polecenia SQL do formularza konfiguracji audytu, które są następnie zapisywane. Wykonanie następuje przy dostępie do funkcji audytu przez atakującego lub innego użytkownika.

Wtyczka Divi Torque Lite dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.2.3 włącznie. Problem wynika z użycia '__return_true' jako wywołania zwrotnego uprawnień dla endpointów REST API /install_plugin i /activate_plugin, co omija wbudowaną weryfikację nonce WordPressa. Mimo że funkcje wywołania zwrotnego zawierają wewnętrzne sprawdzenia current_user_can(), brak weryfikacji nonce umożliwia sfałszowane żądanie z przeglądarki zalogowanego administratora, które przechodzi kontrolę uprawnień dzięki ciasteczkom sesji administratora.

Wtyczka Bit Form dla WordPressa do wersji 3.1.1 włącznie zawiera podatność na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji deleteFiles. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym usunięcie dowolnych plików na serwerze.

Wtyczka EventPrime dla WordPressa do wersji 4.3.4.2 zawiera podatność na trwałe XSS przez parametr 'new_event_type_background_color'. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym dostępie do zainfekowanej strony.

Podatność w PAVO Pay umożliwia ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji do 09072026. Producent nie odpowiedział na zgłoszenie.

Wtyczka Popup Maker dla WordPressa do wersji 1.22.0 zawiera podatność polegającą na pominięciu autoryzacji. Umożliwia ona uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym zainstalowanie i aktywowanie dowolnej wtyczki z zewnętrznego URL, co prowadzi do zdalnego wykonania kodu.

Podatność w REST API Apache Helix (helix-rest) do wersji 2.0.0 włącznie polega na nadmiernie liberalnej polityce CORS. Filtr CORSFilter nieprawidłowo ustawia nagłówki Access-Control-Allow-Origin: * oraz Access-Control-Allow-Credentials: true, co pozwala atakującemu na wykonanie żądań międzyoriginowych do wrażliwych endpointów administracyjnych z dowolnego źródła.

W funkcji synchronizacji wykryto podatność polegającą na nieprawidłowym przypisaniu uprawnień, przez co czujniki Arc otrzymują uprawnienia CLI. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami może za pomocą synchronizacji przesyłać administracyjne polecenia CLI, zmieniając konfigurację urządzenia i/lub wpływając na jego dostępność.

Podatność w Remote Collectorze umożliwia atak typu man-in-the-middle, ponieważ konfiguracja generowana przez n2os-tui wyłącza weryfikację certyfikatu TLS dla połączeń z Guardianem lub CMC. Brak opcji włączenia weryfikacji pozwala atakującemu na przechwycenie komunikacji.

W funkcjonalności rejestrowania audytu odkryto podatność na atak typu „odmowa usługi” (DoS) spowodowaną nieograniczoną alokacją zasobów. Brak limitu rozmiaru danych wejściowych zapisywanych w wpisach audytu pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z bardzo dużymi danymi, co może wyczerpać dostępne miejsce na dysku i unieruchomić system.