Katalog podatności CVE

Produkt GPM LIGHT firmy ezGlobal zawiera lukę polegającą na ujawnieniu danych wrażliwych. Nieuwierzytelniony zdalny atakujący może bezpośrednio uzyskać dostęp do logów systemowych.

W PaperCut MF/NG występuje luka nieprawidłowego uwierzytelniania, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na wywołanie generowania raportów. Poprzez wysyłanie żądań generowania raportów bez ważnych poświadczeń atakujący może uzyskać nieautoryzowany dostęp do danych wrażliwych.

W module graficznym występuje luka polegająca na odczycie poza zakresem bufora. Skuteczne wykorzystanie tej luki może wpłynąć na dostępność systemu.

W mechanizmie aktualizacji użytkownika w Keycloak Admin REST API wykryto błąd. Gdy włączone są szczegółowe uprawnienia administratora, system nie sprawdza uprawnień do resetowania hasła podczas ogólnej aktualizacji profilu użytkownika, co pozwala delegowanemu administratorowi zmienić poświadczenia użytkownika i przejąć jego konto.

W mechanizmie wymuszania poziomu uwierzytelniania w Keycloak występuje błąd logiczny. Gdy klient wymaga wyższego poziomu bezpieczeństwa dla użytkownika z aktywną sesją na niższym poziomie, Keycloak może błędnie wydać token na niższym poziomie zamiast wymusić wyższy, co może pozwolić na nieautoryzowany dostęp do zasobów wrażliwych.

Wtyczka WordPress Events Manager przed wersją 7.4.5 nie wymusza zakresu wyszukiwania zalogowanych wydarzeń i lokalizacji, gdy wywołujący poda własną wartość właściciela. Umożliwia to użytkownikowi o niskich uprawnieniach odczyt niepublikowanych, oczekujących lub usuniętych wydarzeń i lokalizacji innych kont, w tym pełnych adresów.

Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje jednego z pól konfiguracji kampanii, gdy włączona jest określona funkcja. Pozwala to użytkownikom z rolą Contributor i wyższą na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji użytkownika o wyższych uprawnieniach przeglądającego kampanię.

Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje treści pobieranej ze źródła dostarczonego przez użytkownika przed jej wyrenderowaniem. Może to pozwolić użytkownikom takim jak Contributor na przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym kampanię.

Wtyczka WordPress MasterStudy LMS przed wersją 3.7.50 nie weryfikuje, czy użytkownik jest zapisany na kurs, przed zarejestrowaniem ukończenia lekcji. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na tworzenie rekordów postępu kursu dla kursów, do których nie ma dostępu.

Wtyczka MasterStudy LMS dla WordPressa w wersji przed 3.7.50 nie sprawdza, czy rejestracja użytkowników jest włączona na stronie, przed utworzeniem konta przez jeden z jej front-endowych przepływów rejestracji. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie kont i logowanie się na nich na stronach, na których rejestracja została celowo wyłączona.

Wtyczka MasterStudy LMS dla WordPressa w wersji przed 3.7.50 nie wykonuje żadnych kontroli uprawnień ani nonce na administracyjnej akcji konserwacyjnej. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, wywołanie tej akcji i utworzenie opublikowanej treści na stronie przypisanej do własnego konta.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie ogranicza dostępu do kluczy odpowiedzi quizów. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. studentowi, pobranie poprawnych odpowiedzi do dowolnego quizu na stronie, w tym quizów w kursach, na które nie jest zapisany. Ukrywanie odpowiedzi stosowane jest tylko do stałej listy typów pytań, więc odpowiedzi do wszystkich pozostałych typów są zwracane w całości każdemu, kto może wyświetlić pytania.

Wtyczka Masteriyo LMS dla WordPressa w wersji przed 3.4.2 nie weryfikuje, czy użytkownik wysyłający żądanie jest właścicielem zwracanych rekordów postępu kursu. Umożliwia to dowolnemu uwierzytelnionemu użytkownikowi, np. samodzielnie zarejestrowanemu subskrybentowi, odczytanie aktywności edukacyjnej innego użytkownika. Stosowana kontrola własności jest pomijana, gdy żądane konto nie jest nazwane niezerową wartością, w którym to przypadku zwracane są jednocześnie rekordy wszystkich uczniów na stronie.

Wtyczka 10Web Booster dla WordPressa w wersji przed 2.34.0 nie ogranicza dostępu do procedury wydającej wspólny sekret uwierzytelniający jej połączenie z chmurą. Ujawnia ten sekret nieuwierzytelnionym odwiedzającym i pozwala im wielokrotnie go usuwać, uniemożliwiając administratorowi ukończenie legalnego połączenia.

Wtyczka CMB2 dla WordPressa w wersji przed 2.13.0 nie wykonuje żadnej kontroli uprawnień na jednej ze swoich akcji AJAX. Umożliwia to użytkownikom o roli tak niskiej jak Subscriber tworzenie dowolnych opcji WordPressa i psucie istniejących, co może zepsuć podstawowe ustawienia strony i doprowadzić do jej niedostępności. Wykorzystanie wymaga, aby strona lub inna wtyczka CMB2 przed 2.13.0 zadeklarowała pole oEmbed, ponieważ sama wtyczka CMB2 przed 2.13.0 nie rejestruje żadnego własnego. Przechowywana wartość nigdy nie jest kontrolowana przez atakującego, więc problem nie prowadzi do eskalacji uprawnień.

Wtyczka WPForms dla WordPressa w wersji przed 2.0.2 nie weryfikuje, czy obiekt płatności Stripe dostarczony podczas publicznego zgłoszenia formularza należy do niej, przed podjęciem na nim działań. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie pełnego zwrotu i natychmiastowego anulowania subskrypcji dla płatności utworzonych przez inne aplikacje na koncie Stripe właściciela strony.

Fabasoft Folio Client przed 2026 nie ogranicza domyślnie, które pochodzenie webowe mogą wywoływać jego funkcje. Wartość rejestru VALIDDOMAINS była opcjonalna i pusta, co powoduje, że wszystkie domeny są zaufane. Każda strona internetowa odwiedzona przez użytkownika z zainstalowanym klientem może wywoływać funkcje klienta, np. pobieranie dokumentów, otwieranie dokumentów i synchronizację plików.

Wada w Edimax BR-6428nC 1.16. Funkcja websRedirect komponentu goform Handler nieprawidłowo przetwarza argument submit-url, co prowadzi do otwartego przekierowania. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.

W OpenStack Swift przed 2.38.2, middleware tempurl nie odrzuca nagłówka X-Copy-From w żądaniach PUT. Podpis TempURL obejmuje tylko metodę, wygaśnięcie i ścieżkę, więc lista niedozwolonych nagłówków jest jedyną obroną. Atakujący posiadający PUT TempURL dla pojedynczego obiektu może dodać nagłówek X-Copy-From wskazujący dowolny obiekt w tym samym koncie; middleware kopiuje ten obiekt do miejsca docelowego, a atakujący odczytuje dane ofiary za pomocą GET TempURL.

Luka w MantisZip do 0.4.5. Funkcja Path.Combine w pliku MainWindow.UI.cs komponentu Preview prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit został opublikowany.