Katalog podatności CVE

Plugin Ni WooCommerce Sales Report przed wersją 4.2.0 nie ma odpowiednich kontroli uwierzytelniania/autoryzacji w jednej z procedur drukowania raportów, co pozwala niezalogowanym użytkownikom pobierać szczegóły zamówień WooCommerce oraz dane kontaktowe klientów, a także wyszukiwać zamówienia według nazwiska lub adresu e-mail klienta.

Plugin Eventin przed wersją 4.1.24 nie zapobiega użyciu tokenu wydanego gościowi podczas finalizacji zakupu do późniejszej zmiany biletów w zamówieniu, co pozwala niezalogowanym użytkownikom zastąpić płatny bilet darmowym i sfinalizować zamówienie bez płacenia.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio weryfikuje adresów URL przed ich pobraniem podczas procesu importu, co pozwala użytkownikom z uprawnieniami importu (domyślnie administratorzy) powodować wysyłanie przez stronę żądań do wewnętrznych hostów i usług oraz odczytywać ich odpowiedzi. Jest to niepełna poprawka dla CVE-2026-11397.

Plugin WP Import Export Lite przed wersją 3.9.33 nie escapuje nazw pól niestandardowych pobranych z bazy danych przed wstawieniem ich do DOM jednego z ekranów administracyjnych, co pozwala użytkownikom z rolą co najmniej contributor na przeprowadzanie ataków Stored XSS, które wyzwalają się w przeglądarce użytkownika z wysokimi uprawnieniami, takiego jak administrator, przeglądającego ten ekran.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości konfiguracji importu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom, którym administrator nadał uprawnienia importu, przeprowadzać ataki SQL injection.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości filtrów eksportu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom posiadającym uprawnienia eksportu (domyślnie administratorzy, mogą być przyznane niższym rolom) przeprowadzać ataki SQL injection.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pliku podanej przez użytkownika przed jej odczytem i skopiowaniem do publicznie dostępnego katalogu. Umożliwia to użytkownikom z uprawnieniem importu ujawnienie wrażliwych plików z serwera, w tym plików spoza katalogu web root. Ten sam kod dodatkowo łagodzi uprawnienia systemu plików dla dowolnej podanej ścieżki, niezależnie od tego, czy kopiowanie się powiedzie.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pochodzącej z przechowywanych danych użytkownika przed rekurencyjnym usunięciem katalogu, na który wskazuje. Umożliwia to użytkownikom, którym administrator delegował odpowiednie uprawnienie, usunięcie dowolnych katalogów wraz ze wszystkimi plikami, w tym spoza katalogu web root.

Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.9.6 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'shortcode_content' shortcode'u bt_bb_shortcode. Wynika to z obejścia filtra bezpieczeństwa (bt_bb_save_pre) za pomocą wstrzyknięcia bajtu null oraz niewystarczającej sanityzacji danych wyjściowych w handlerze shortcode'u bt_bb_raw_content. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.

Wtyczka Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots dla WordPressa (wszystkie wersje do 2.15.22 włącznie) jest podatna na odbite Cross-Site Scripting (Reflected XSS) poprzez parametr 'icn' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, np. kliknięcia w link.

Wtyczka WP Directory Kit dla WordPressa (wszystkie wersje do 1.5.4 włącznie) jest podatna na ślepą iniekcję SQL poprzez parametr 'order_by' z powodu niewystarczającego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych.

Wtyczka Advanced Popups dla WordPressa (wszystkie wersje do 1.2.3 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez pole 'Notification Button Link' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa (wszystkie wersje do 2.8.16 włącznie) jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień dla parametru URL 'ai-debug-code'. Nieuwierzytelniony atakujący może wyświetlić skonfigurowane przez administratora bloki kodu nagłówka i stopki, które zostały wyłączone z publicznego wyświetlania.

W systemie synaptik-cms (do wersji 1.3.4.4) wykryto podatność w funkcji rename w pliku admin/file-manager.php komponentu Admin File Manager. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 1.3.5 łagodzi ten problem.

W systemie gedelumbung HospitalManagement (do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8) wykryto podatność w funkcji generate_index_pasien w pliku application/models/app_global_admin_model.php. Manipulacja argumentem 'cari' może prowadzić do iniekcji SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt nie odpowiedział na zgłoszenie problemu.

W vLLM w wersjach 0.26.0 i 0.27.0 wykryto podatność w komponencie MoRIIO Acknowledgement Handler. Manipulacja argumentami request_id/kv_transfer_params w funkcjach MoRIIOConnectorScheduler.request_finished, MoRIIOConnectorWorker.get_finished oraz MoRIIOWrapper._handle_release_message prowadzi do nadmiernego zużycia zasobów. Atak można przeprowadzić zdalnie, a projekt nie zareagował jeszcze na zgłoszenie.

Przepływ aktualizacji oprogramowania VeloCloud Edge może akceptować pakiety aktualizacji bez prawidłowej weryfikacji ich podpisów, ponieważ nie ogranicza algorytmu skrótu używanego do weryfikacji artefaktów. Atakujący z odpowiednimi uprawnieniami do przesyłania pakietów do VeloCloud Orchestrator lub z poświadczeniami dostępu do Edge może zainstalować nieautoryzowane oprogramowanie.

Na platformach z Arista EOS z skonfigurowanym MLAG Dual Primary Detection nieuwierzytelniony atakujący z dostępem do segmentu sieci Dual Primary Detection może wysyłać specjalnie spreparowane pakiety zakłócające stan dual-primary. Jeśli przełącznik MLAG primary ulegnie awarii w obecności tych pakietów, przełącznik secondary błędnie uzna, że jest w stanie dual-primary i wyłączy swoje interfejsy, powodując przerwę w ruchu.

EspoCRM do wersji 10.0.8 używa funkcji PHP rand() do generowania tokenów dla opt-in lead-capture, zaproszeń na wydarzenia i adresów URL kampanii, zamiast kryptograficznie bezpiecznego generatora. Zdalni nieuwierzytelnieni atakujący mogą odgadnąć te około 31-bitowe tokeny, aby potwierdzić opt-iny, zaakceptować lub odrzucić zaproszenia na wydarzenia w imieniu innych kontaktów oraz uzyskać dostęp do szczegółów wydarzeń.

W a2ui-project a2ui do wersji 0.10.6 wykryto podatność w funkcji processMessages w pliku renderers/web_core/src/v0_9/processing/message-processor.ts w komponencie Message Parsing. Manipulacja prowadzi do dynamicznie określanych atrybutów obiektu. Atak można przeprowadzić zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie.