Katalog podatności CVE

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na brak autoryzacji, co umożliwia nieautoryzowanym użytkownikom modyfikację i usuwanie danych. Problem wynika z braku sprawdzenia uprawnień w funkcji 'delete_object' we wszystkich wersjach do 3.28.25 włącznie.

Podatność w Fastjson przed wersją 1.2.48 umożliwia atakującemu wstrzyknięcie JNDI poprzez manipulację kluczem @type w dokumencie JSON. Atakujący może wywołać publiczne metody określonej klasy Java, co prowadzi do zdalnego wykonania kodu. Luka była aktywnie wykorzystywana w latach 2023-2025.

Wtyczka Frontend Admin autorstwa DynamiApps dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 3.28.29 włącznie. Problem wynika z niewystarczającej walidacji wartości ról dostarczanych przez użytkowników w funkcjach 'validate_value', 'pre_update_value' oraz 'get_fields_display'.

Routery KAYSUS KS-WR3600 z oprogramowaniem układowym 1.0.5.9.1 umożliwiają obejście uwierzytelniania podczas walidacji sesji. W przypadku, gdy jakikolwiek użytkownik jest zalogowany, punkty końcowe, takie jak /cgi-bin/system-tool, akceptują nieautoryzowane żądania z pustymi lub nieprawidłowymi wartościami sesji.

W urządzeniach Panda Wireless PWRU0 z oprogramowaniem 2.2.9 odkryto problem polegający na braku uwierzytelniania w wielu punktach końcowych HTTP (/goform/setWan, /goform/setLan, /goform/wirelessBasic). Zdalny, nieuwierzytelniony atakujący może bezpośrednio modyfikować ustawienia WAN, LAN i sieci bezprzewodowej, co prowadzi do eskalacji uprawnień i odmowy usługi.

Komponent snailjob w RuoYi-Vue-Plus w wersjach 5.5.1 i wcześniejszych, interfejs /snail-job/workflow/check-node-expression, może wykonywać wyrażenia QLExpress, ale nie filtruje danych wejściowych użytkownika, co pozwala atakującym użyć klasy File do dowolnego odczytu i zapisu plików.

JimuReport do wersji 2.1.3 jest podatny na zdalne wykonanie kodu podczas przetwarzania kontrolowanych przez użytkownika adresów URL JDBC H2. Aplikacja przekazuje adres URL JDBC dostarczony przez atakującego bezpośrednio do sterownika H2, co pozwala na użycie pewnych dyrektyw do wykonania dowolnego kodu Java. Jest to inna podatność niż CVE-2025-10770.

Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.

OPEXUS eCasePortal przed wersją 9.0.45.0 umożliwia nieautoryzowanemu atakującemu dostęp do punktu końcowego 'Attachments.aspx', co pozwala na iterację przez przewidywalne wartości 'formid' oraz pobieranie lub usuwanie wszystkich plików przesłanych przez użytkowników, a także na przesyłanie nowych plików.

W aplikacji edu Business Solutions Print Shop Pro WebDesk w wersji 18.34 występuje podatność typu SQL Injection w parametrze hfInventoryDistFormID w punkcie końcowym /PSP/appNET/Store/CartV12.aspx/GetUnitPrice. Nieprawidłowe przetwarzanie danych wejściowych użytkownika umożliwia atakującym zdalne wykonywanie dowolnych poleceń SQL.

W wersji 18.34 aplikacji Print Shop Pro WebDesk od edu Business Solutions występuje problem w punkcie końcowym /PSP/appNET/Store/CartV12.aspx/GetUnitPrice, który pozwala zdalnemu atakującemu na tworzenie nieprawidłowości finansowych poprzez zakup przedmiotów z ujemną ilością. Podatność ta wynika z polegania na walidacji danych po stronie klienta.

indieka900 online-shopping-system-php 1.0 jest podatny na SQL Injection w master/review_action.php poprzez parametr proId.

Ta podatność pozwala operatorowi kopii zapasowych (Backup Operator) na zdalne wykonanie kodu (RCE) jako użytkownik postgres poprzez wysłanie złośliwego parametru interval lub order.

Podatność umożliwia operatorowi kopii zapasowych lub taśm zapisywanie plików jako root.

Podatność umożliwia administratorowi kopii zapasowych zdalne wykonanie kodu (RCE) jako użytkownik postgres poprzez wysłanie złośliwego parametru hasła.

Podatność w komponencie AppConnector systemu enaio (wersje do 10.10.0.183, 11.0.0.183 i 11.10.0.183) umożliwia uwierzytelnionym zdalnym atakującym wstrzykiwanie dowolnych komend SMTP poprzez spreparowane dane wejściowe do punktu końcowego /osrest/api/organization/sendmail.

W RustFS (wersje 1.0.0-alpha.13 do 1.0.0-alpha.78) wadliwe skrócenie w mechanizmie `deny_only` w IAM pozwala ograniczonemu kontu usługowemu lub poświadczeniu STS na samodzielne wydanie nieograniczonego konta usługowego, dziedzicząc pełne uprawnienia rodzica. Umożliwia to eskalację uprawnień i obejście ograniczeń polityk sesji/wbudowanych. Wersja 1.0.0-alpha.79 naprawia problem.

Snuffleupagus to moduł, który zwiększa koszty ataków na strony internetowe poprzez eliminację klas błędów i zapewnienie systemu wirtualnych poprawek. W wersjach Snuffleupagus przed 0.13.0, przy włączonej funkcji walidacji przesyłania plików i skonfigurowanej do użycia jednego z upstreamowych skryptów walidacyjnych opartych na Vulcan Logic Disassembler (VLD), wszystkie pliki z wieloczęściowych żądań POST były oceniane jako kod PHP, jeśli rozszerzenie VLD nie było dostępne dla CLI SAPI.

W ZimaOS (do wersji 1.5.0 włącznie) aplikacja sprawdza poprawność nazwy użytkownika, ale pomija, błędnie interpretuje lub nieprawidłowo weryfikuje hasło, gdy podana nazwa użytkownika odpowiada znanemu kontu usługowemu systemu. Funkcja logowania nie obsługuje poprawnie wyniku walidacji hasła dla tych użytkowników, co skutecznie przyznaje dostęp każdemu, kto zna jedną z tych popularnych nazw użytkownika i poda dowolne hasło. W chwili publikacji nie są dostępne żadne znane wersje z poprawką.

Zestaw reguł OWASP (CRS) zawiera ogólne reguły wykrywania ataków dla zgodnych zapór aplikacji webowych. W wersjach przed 4.22.0 i 3.3.8 występuje błąd w regule 922110, który powoduje nadpisywanie zmiennych przechwytywania podczas przetwarzania żądań multipart z wieloma częściami.