Katalog podatności CVE

UVdesk core-framework w wersjach przed 1.1.7 zawiera podatność typu stored cross-site scripting w parametrze identyfikatora konfiguracji SwiftMailer akcji createMailerConfiguration. Atakujący z rolą ROLE_AGENT może wstrzyknąć złośliwy skrypt do pola identyfikatora, który jest zapisywany i wykonywany, gdy inni członkowie uzyskają dostęp do strony aktualizacji konfiguracji.

Funkcja login() w pliku UsersController.php MISP zawierała niewystarczającą walidację metod HTTP dla kilku krytycznych ścieżek kodu. Oryginalny kod używał podejścia allowlisty, sprawdzając tylko konkretne metody HTTP (POST i PUT) przed egzekwowaniem ochrony przed bruteforce, weryfikacji jednorazowego hasła e-mail (OTP) i logowania nieudanych prób logowania. Ponieważ sprawdzenia nie były wyczerpujące, nieuwierzytelniony atakujący mógł wysyłać żądania logowania innymi metodami HTTP i jednocześnie ominąć wszystkie trzy mechanizmy bezpieczeństwa.

MISP zawiera podatność typu DOM-based cross-site scripting (XSS) w komponencie JavaScript menu kontekstowego. Klasa ContextualMenu wypełnia elementy HTML <option>, przypisując kontrolowane przez użytkownika wartości do właściwości innerHTML. Ponieważ innerHTML parsuje i renderuje znaczniki HTML, każdy niezaufany ciąg znaków podany jako tekst opcji (value.text lub value) jest interpretowany jako aktywna zawartość DOM, a nie zwykły tekst.

MISP w domyślnym motywie zawiera podatność typu stored XSS na stronie indeksu Galaxies. Nazwy przykładowych tagów pochodzące z nieznanych klastrów galaktyk są wstawiane do HTML bez kodowania encji, co pozwala użytkownikowi z uprawnieniami edycji tagów wstrzyknąć złośliwy skrypt. Administrator odwiedzający stronę Galaxies uruchamia ten skrypt w swojej sesji przeglądarki.

W produktach ST Engineering iDirect iDX oraz Evo iDX wykryto lukę w pliku /authorize komponentu HTTP Request Handler. Manipulacja argumentem Success prowadzi do rozdzielania odpowiedzi HTTP (HTTP response splitting). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Luka dotyczy wyłącznie produktów nieobsługiwanych przez producenta; aktualne wersje (X10, X11, Velocity 5.x+) nie mają potwierdzonego wpływu.

W produktach ST Engineering iDirect iDX oraz Evo iDX wykryto lukę w komponencie Location Header Handler. Manipulacja argumentem Host prowadzi do otwartego przekierowania (open redirect). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Luka dotyczy wyłącznie produktów, które nie są już wspierane przez producenta.

Neethi podczas pobierania zdalnej referencji polityki ogranicza tylko czas pojedynczego odczytu, a nie całego transferu. Serwer wysyłający dane bardzo powoli może utrzymywać połączenie w nieskończoność i blokować wątek wywołujący, powodując odmowę usługi (DoS).

W Checkmk w wersjach <2.5.0p14, <2.4.0p37, <2.3.0p51 oraz 2.2.0 (EOL) występuje nieprawidłowe przetwarzanie silnie skompresowanych danych (amplifikacja danych). Atakujący kontrolujący host zarejestrowany w trybie push może wysłać mały ładunek skompresowany zlib, który po dekompresji osiąga dowolny rozmiar, wyczerpując pamięć odbiornika agenta.

W MISP widok statystyk macierzy galaktyki (app/View/Users/statistics_galaxymatrix.ctp) renderuje nazwę galaktyki bezpośrednio do HTML przez sprintf() bez kodowania HTML. Uwierzytelniony użytkownik z uprawnieniem perm_galaxy_editor może utworzyć lub zmodyfikować galaktykę, której nazwa zawiera dowolny znacznik HTML lub JavaScript, co prowadzi do wykonania skryptu w przeglądarce każdego użytkownika otwierającego tę stronę.

W silniku renderowania po stronie klienta platformy 1millionbot AI Chat Platform występuje podatność XSS wynikająca z nieodpowiedniej sanityzacji danych wejściowych. Nieuwierzytelniony zdalny użytkownik może spowodować renderowanie zewnętrznych hiperłączy w interfejsie poprzez wysyłanie wiadomości zawierających składnię Markdown i pewne niesanityzowane bloki treści.

W Omega Solution FBP Fulfillment by People 2025 wykryto podatność w nieznanej funkcji pliku /user/ komponentu User Profile API. Manipulacja argumentem ID prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być użyty.

W Omega Solution HRM OS do wersji 20260717 zidentyfikowano słabość w nieznanej funkcji pliku /role-permission/permission komponentu Role Permission API. Manipulacja argumentem roleId może prowadzić do braku uwierzytelnienia, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być użyty.

Wtyczka WordPress Payment Gateway for PayPal on WooCommerce w wersji przed 9.2.1 nie weryfikuje, czy przychodzące powiadomienie o płatności zostało potwierdzone w skonfigurowanym środowisku płatności sklepu ani czy wpłata trafiła na konto merchant sklepu, zanim oznaczy zamówienie jako zakończone. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie własnych zamówień jako opłaconych przy użyciu prawdziwej transakcji z kontrolowanego przez nich sandboxa płatności.

Wtyczka WordPress GiveWP w wersji przed 4.16.9 nie usuwa delimiterów shortcode'ów z wartości dostarczanych przez darczyńców przed wyrenderowaniem ich na publicznych stronach, a stosowane oczyszczanie shortcode'ów można obejść poprzez zagnieżdżenie. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie.

Wtyczka WordPress RestroPress w wersji przed 3.4.6 nie waliduje po stronie serwera ceny dodatków do pozycji dostarczanej przez klienta podczas dodawania lub aktualizacji pozycji w koszyku. Umożliwia to nieuwierzytelnionym użytkownikom ustawienie dowolnej ceny i złożenie zamówienia na wybraną przez atakującego kwotę, aż do zera włącznie.

W produkcie Omega Solution HRM OS w wersji do 20260717 wykryto podatność w nieznanej funkcji pliku /role-permission/permission w komponencie Role Permission Retrieval Endpoint. Manipulacja argumentem roleId prowadzi do niewłaściwej kontroli identyfikatorów zasobów. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany.

W produkcie ScadaBR w wersji do 1.1 wykryto podatność w funkcji EmportDwr.createExportJSON pliku /ScadaBR/export_project.htm w komponencie Export Project Endpoint. Manipulacja prowadzi do ujawnienia informacji. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W Admin REST API produktu Keycloak wykryto usterkę polegającą na tym, że API używa pamięci podręcznej per-request do rozwiązywania klientów po ich unikalnym identyfikatorze bez weryfikacji, czy klient należy do realm określonego w ścieżce żądania. Umożliwia to administratorowi o ograniczonych uprawnieniach odczyt lub modyfikację poufnych konfiguracji klientów w realm master poprzez dostęp przez kontrolowany realm.

W komponencie Authorization Services produktu Keycloak wykryto usterkę w endpointcie oceny polityk, używanym przez administratorów do testowania, jak polityki dostępu mają zastosowanie do konkretnych użytkowników. Z powodu braku kontroli autoryzacji delegowany administrator o ograniczonych uprawnieniach przeglądania może uzyskać dostęp do pełnego profilu i informacji o rolach dowolnego użytkownika w realm, nawet jeśli nie ma uprawnień do przeglądania danych użytkowników.

Wykryto podatność w routerze Feiyu Star B-MB5E202-210322-r11656 (Chengdu Feiyuxing Technology) w pliku /send_order.cgi?parameter=del_expmac. Manipulacja argumentem mac prowadzi do wstrzyknięcia poleceń. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.