Katalog podatności CVE

Wtyczka Pubjet | پاب‌جت w wersjach do 5.4.8 umożliwia subskrybentowi zmianę ustawień, do których nie powinien mieć dostępu.

Wtyczka Wordable w wersjach do 8.2.10 ma podatność Broken Access Control, która pozwala subskrybentowi na dostęp do funkcji, do których nie powinien mieć uprawnień.

Wtyczka ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes w wersjach do 1.5.3 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z rolą Subscriber. Wymagane jest jedynie niskouprawnione konto.

Wtyczka WPSection w wersjach do 1.5.1 ma podatność Broken Access Control, która pozwala subskrybentowi na dostęp do funkcji, do których nie powinien mieć uprawnień.

Wtyczka Everest Backup w wersjach do 2.3.13 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu (RCE).

Wtyczka AIWU w wersjach do 1.5.9 włącznie zawiera podatność umożliwiającą użytkownikowi z rolą Subscriber eskalację uprawnień. Wymagane jest jedynie niskouprawnione konto.

Wtyczka Additional Order Filters for WooCommerce w wersjach do 1.24 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting).

Wtyczka WP File Download w wersjach do 6.3.6 zawiera podatność na nieuwierzytelniony atak XSS (Cross Site Scripting).

Builderius.io Builderius w wersjach od 1.4 do 1.4-beta zawiera podatność na Server-Side Request Forgery (SSRF).

Tabularis do wersji 0.27.0 zawiera lukę nieprawidłowej autoryzacji w bramce bezpieczeństwa MCP run_query. Pozwala ona agentom z wstrzykniętym promptem lub niezaufanym klientom MCP obejść tryb tylko do odczytu poprzez wysyłanie instrukcji SELECT powodujących skutki uboczne, takich jak SELECT setval, nextval lub PostgreSQL query_to_xml z osadzonym DELETE, modyfikując dane bez monitów o zatwierdzenie.

slide-maker do wersji 5.8.0 zawiera podatność path traversal w generate_images_openai.py, która pozwala atakującym zapisywać pliki obrazów poza katalogiem wyjściowym poprzez nazwy plików dostarczone w manifeście. Atakujący mogą wpłynąć na materiał źródłowy prezentacji, aby manifest promptów obrazów zawierał nazwy plików z ../ lub dowiązaniami symbolicznymi, tworząc katalogi i nadpisując istniejące pliki w dowolnych ścieżkach.

Helicone do wersji v2025.08.21-1 zawiera lukę SSRF w nadawcy webhooków Jawn. Uwierzytelnieni użytkownicy organizacji mogą tworzyć webhooki z publicznymi nazwami hostów, które rozwiązują się lub są rebindowane DNS do adresów pętli zwrotnej lub wewnętrznych, powodując ślepe żądania POST do wewnętrznych usług HTTPS.

Wtyczka MicroPayments w wersjach do 3.2.9 zawiera lukę obejścia zabezpieczeń dla subskrybentów. Użytkownik z rolą subskrybenta może obejść ograniczenia.

Wtyczka Pay With MetaMask For WooCommerce – Cryptocurrency Payment Gateway w wersjach do 1.7.2 zawiera lukę obejścia zabezpieczeń bez uwierzytelnienia. Niezalogowany atakujący może obejść mechanizmy kontroli.

Wtyczka VillaTheme ALD – Dropshipping and Fulfillment for AliExpress and WooCommerce do wersji 2.2.4 ma lukę braku autoryzacji. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Wtyczka Forminator od WPMU DEV w wersjach do 1.57.3 ma podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień.

Wtyczka Sell Downloads (do wersji 1.2.3) zawiera podatność polegającą na niewłaściwej weryfikacji źródła kanału komunikacji, co umożliwia wykorzystanie zaufanych poświadczeń. Problem dotyczy wszystkich wersji od n/a do 1.2.3.

Motyw WordPress Martfury - WooCommerce Marketplace zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 3.3.9 włącznie.

Narzędzie open-multi-agent (pakiet @open-multi-agent/core) w wersjach 1.5.0 do 1.21.2 zawiera podatność typu link following w sandboxie narzędzia file_write, która pozwala atakującym tworzyć pliki poza katalogiem roboczym poprzez wykorzystanie wiszących dowiązań symbolicznych. Atakujący może umieścić wiszące dowiązanie w obszarze roboczym i nakłonić agenta poprzez wstrzyknięcie promptu do zapisu treści pod dowolną ścieżką, do której proces agenta ma prawo zapisu.

Narzędzie phi w wersjach 0.1.1 do 0.28.4 zawiera podatność niewłaściwego rozwiązywania dowiązań, która pozwala złośliwym repozytoriom obejść ograniczenie workspace_only_writes poprzez wykorzystanie sprawdzania ścieżek wyłącznie leksykalnie w bramce uprawnień. Atakujący mogą zatwierdzić dowiązania symboliczne wskazujące poza obszar roboczy i użyć wstrzyknięcia promptu, aby narzędzie zapisu zapisało treści do plików zewnętrznych bez zatwierdzenia.