Katalog podatności CVE

Wtyczka Flexible Quantity – Measurement Price Calculator for WooCommerce w wersjach do 2.3.21 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na wykonanie operacji wykraczających poza przyznane uprawnienia.

Wtyczka Booktics w wersjach do 1.0.24 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na wykonanie operacji wykraczających poza przyznane uprawnienia.

Wtyczka Starter Templates w wersjach do 4.7.5 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Użytkownik z rolą Contributor może uzyskać dostęp do obiektów, do których nie powinien mieć uprawnień.

Wtyczka RTMKit w wersjach do 2.1.5 włącznie jest podatna na Cross Site Request Forgery (CSRF). Użytkownik z rolą Subscriber może zostać nakłoniony do wykonania niechcianych akcji w aplikacji.

Wtyczka Masteriyo - LMS w wersjach do 3.4.0 włącznie zawiera podatność Broken Access Control. Użytkownik z rolą Subscriber może wykonać akcje wykraczające poza przysługujące mu uprawnienia.

Wtyczka Passster w wersjach do 4.3.13 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Wtyczka Slim SEO w wersjach do 4.10.0 włącznie zawiera podatność typu Insecure Direct Object References (IDOR). Użytkownik z rolą Contributor może uzyskać dostęp do obiektów, do których nie ma uprawnień.

Wtyczka Simple Payment w wersjach do 2.5.4 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka Bold Page Builder w wersjach do 5.9.9 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka 10up ElasticPress w wersjach do 5.3.4 włącznie zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych. Może to pozwolić na odzyskanie osadzonych poufnych danych.

Wtyczka Deposits and Partial Payments for WooCommerce w wersjach do 3.1.0 włącznie zawiera podatność Broken Access Control dostępną dla nieuwierzytelnionych użytkowników. Osoba bez logowania może obejść mechanizmy kontroli dostępu.

Linkstack w wersji 4.8.4 i wcześniejszych jest podatny na path traversal, co pozwala administratorowi na odczyt dowolnych plików na serwerze poprzez manipulację ścieżką pliku. Skuteczne wykorzystanie może prowadzić do nieautoryzowanego dostępu do wrażliwych plików systemowych lub aplikacji.

Szablon strony internetowej firmy Arma Digital Media Inc. zawiera podatność polegającą na niewłaściwej neutralizacji specjalnych elementów używanych w silniku szablonów. Może to pozwolić na wstrzyknięcie kodu. Problem dotyczy wersji do 11092026. Producent został powiadomiony, ale nie odpowiedział.

W bibliotece Amazon AWS SDK for Go v2 przed wydaniem release-2026-03-23 występuje nieobsłużony błąd panic w dekoderze nagłówka strumienia zdarzeń. Nieuwierzytelniony zdalny atakujący może zakończyć proces aplikacji konsumującej, wysyłając spreparowaną ramkę odpowiedzi strumienia zdarzeń z typem wartości nagłówka spoza prawidłowego zakresu.

W module tarfile języka Python, gdy rozpakowywany jest link w systemie, który nie obsługuje linków, następuje fallback do rozpakowania elementu z archiwum. W takim przypadku funkcja filtra jest uruchamiana dwukrotnie, a dla jednego z wywołań wartość zwracana jest ignorowana, co może prowadzić do nieprawidłowego rozpakowania elementu.

Chamilo LMS przed wersją 1.11.42 oraz 3.0.0 zawiera podatność typu stored cross-site scripting, która pozwala nieuwierzytelnionym atakującym wstrzyknąć złośliwe skrypty do odpowiedzi ankiet poprzez obliczenie deterministycznych kodów zaproszeń i obejście kontroli autoryzacji w punkcie końcowym przesyłania ankiety. Złośliwe skrypty są renderowane w widokach raportowania i wykonują się w sesjach przeglądarki nauczycieli lub administratorów.

Concrete CMS w wersjach od 9 do 9.5.2 jest podatny na brak autoryzacji w trasie aliasu bloku (Process::alias() w concrete/controllers/backend/block/process.php). Nie weryfikuje, czy przywoływany blok jest rzeczywiście osierocony na stronie docelowej, ani czy wywołujący ma jakiekolwiek uprawnienia do bloku źródłowego. Użytkownik z delegacją add_block_to_area ograniczoną do obszaru na własnej stronie może przekazać dowolny identyfikator bloku w witrynie, co powoduje skopiowanie zawartości bloku źródłowego do obszaru kontrolowanego przez atakującego, ujawnienie tej zawartości, a następnie wymuszone usunięcie oryginalnego bloku w tym samym żądaniu.

Concrete CMS w wersjach od 9.2.0 do 9.5.2 zawiera podatność braku autoryzacji w punkcie końcowym listy grup REST API. Metoda listGroups() w concrete/src/Api/Controller/Groups.php rejestruje funkcję sprawdzającą uprawnienia, która bezwarunkowo zwraca true, więc nie jest egzekwowana autoryzacja na poziomie obiektu (węzła drzewa) przy zwracaniu kolekcji grup. Uwierzytelniony użytkownik z tokenem API o zakresie groups:read może wywołać GET /ccm/api/1.0/groups i otrzymać wszystkie grupy w witrynie, niezależnie od uprawnień widoku.

W Smart E-Commerce od IdeaSoft Software Industry and Trade Inc. przed wersją 8.4.2.0 występuje podatność Reflected XSS spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.

Blok RSS Displayer w Concrete CMS w wersji poniżej 9.5.3 renderował tytuły elementów zdalnego kanału RSS bez escapowania HTML, co prowadzi do przechowywanego XSS. Atakujący kontrolujący tytuł w syndykowanym kanale mógł wykonać skrypt w kontekście witryny dla każdego odwiedzającego, w tym administratorów, bez posiadania konta w tej witrynie.