Katalog podatności CVE

W wtyczce Salon booking system (salon-booking-system) od Dimitri Grassi występuje podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 10.31.9.

Wtyczka EventON w wersjach do 2.5.7 zawiera podatność typu Cross Site Scripting (XSS) możliwą do wykorzystania przez użytkownika z rolą Subscriber. Pozwala to na wstrzyknięcie złośliwego skryptu do stron serwisu.

Wtyczka IMPress for IDX Broker w wersjach do 3.3.0 zawiera podatność typu Broken Access Control możliwą do wykorzystania przez użytkownika z rolą Subscriber. Umożliwia to wykonanie operacji wykraczających poza przydzielone uprawnienia.

Wtyczka IMPress for IDX Broker w wersjach do 3.3.0 zawiera podatność typu Broken Authentication dostępną bez uwierzytelnienia. Nieuwierzytelniony atakujący może obejść mechanizmy uwierzytelniania.

Wtyczka BuddyForms w wersjach do 2.9.0 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu pozwala na wykonanie operacji, do których użytkownik nie powinien mieć uprawnień.

Wtyczka WP Docs w wersjach do 2.3.1 włącznie jest podatna na atak Cross Site Scripting (XSS), który może przeprowadzić użytkownik z rolą Subscriber. Wstrzyknięty skrypt może zostać wykonany w przeglądarce innego użytkownika.

Wtyczka Youzify w wersjach do 1.3.7 włącznie pozwala użytkownikowi z rolą Subscriber na pobranie dowolnego pliku. Brak odpowiedniej walidacji ścieżki umożliwia dostęp do plików spoza zamierzonego zakresu.

Bramka płatności Robokassa dla WooCommerce w wersjach do 1.8.9 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu umożliwia wykonanie nieautoryzowanych operacji.

Wtyczka Simple Cloudflare Turnstile w wersjach do 1.42.1 włącznie zawiera podatność typu Bypass, którą może wykorzystać nieuwierzytelniony atakujący. Umożliwia to obejście mechanizmu ochrony zapewnianego przez wtyczkę.

Wtyczka Simple Cloudflare Turnstile w wersjach do 1.42.1 włącznie jest podatna na wstrzyknięcie treści (Content Injection), które może przeprowadzić nieuwierzytelniony atakujący. Pozwala to na umieszczenie niepożądanej treści w kontekście serwisu.

Sterownik GNSS modemu Sierra Wireless HL78xx zawiera błąd typu type confusion — struktura gnss_nmea0183_match_data nie jest pierwszym członkiem struktury hl78xx_gnss_data, przez co callbacki parsera NMEA (GGA/RMC/GSV) odczytują i zapisują dane pod przesuniętym adresem. W efekcie callback GSV wykonuje zapis przez niezainicjalizowany wskaźnik z odśmieconym zakresem, co może doprowadzić do awarii jądra (DoS), a na systemach bez MMU także do uszkodzenia sąsiedniej pamięci.

MISP w wersji ≤2.5.45 zawiera podatność na wstrzyknięcie HTML w komponencie MISPElementHTMLFormatterTool, który renderuje odwołania do elementów MISP (atrybutów, obiektów i tagów) do HTML podczas eksportu raportu do PDF. Pola kontrolowane przez użytkownika (typ i wartość atrybutu, nazwa i relacja obiektu, nazwa tagu oraz kolory tagu) są wstawiane do szablonów HTML bez kodowania encji HTML. Dodatkowo metoda attribute() zawiera zaszyte na stałe przykładowe wartości ("domain-ip" i "google.com") zamiast znaczników formatu, przez co każdy zwykły atrybut w PDF wyświetla tekst przykładowy zamiast rzeczywistej wartości wskaźnika.

EspoCRM w wersjach przed 10.0.4 jest podatny na Server-Side Request Forgery (SSRF). Funkcja HostCheck::ipAddressIsNotInternal() usuwa prefiksy ::ffff: (IPv4-mapped IPv6), ale nie rozpoznaje adresów przejściowych IPv6 osadzających prywatne adresy IPv4: NAT64 (64:ff9b::), 6to4 (2002::) i Teredo (2001:0000::). Atakujący kontrolujący domenę z rekordami AAAA wskazującymi na takie adresy może obejść walidację wewnętrznego hosta oraz kontrolę przypinania IP CURLOPT_RESOLVE, powodując wysyłanie przez EspoCRM żądań wychodzących do wewnętrznych usług sieciowych.

Ścieżka realizacji predefiniowanych zestawów (kit checkout) w Snipe-IT nie egzekwuje izolacji dzierżawców Full Multiple Company Support (FMCS) na celu realizacji. W przeciwieństwie do innych ścieżek realizacji, App\Services\PredefinedKitCheckoutService nigdy nie wywołuje $item->canCheckoutTo($target); wykonuje jedynie sprawdzenie polityki aktor-vs-element oraz sprawdzenie dostępności przed zapisaniem realizacji. Przy włączonym FMCS użytkownik niebędący superużytkownikiem, należący do co najmniej dwóch firm i posiadający uprawnienie assets.checkout, może wysłać żądanie POST do /kits/{kit}/checkout z user_id należącym tylko do firmy B i przypisać temu użytkownikowi zasób firmy A (podobnie licencje, materiały eksploatacyjne i akcesoria zestawu), omijając sprawdzenie niezgodności firm. Problem naprawiono w Snipe-IT 8.7.2.

W OpenPanel do wersji 2.3.0 importer danych pobiera adres URL dostarczony przez wywołującego za pomocą zwykłego fetch, zamiast używać istniejącej ochrony SSRF. Uwierzytelniony członek organizacji może sprawić, że serwer połączy się z dowolnym adresem, a wyniki HTTP będą widoczne jako błąd importu, co umożliwia skanowanie wewnętrznych hostów, portów i ścieżek.

Renovate w wersjach przed 44.3.1 (oraz obrazy Mend Renovate CE/EE przed 15.4.0, helm chart mend-renovate-ce przed 15.4.0 i mend-renovate-enterprise-edition przed 10.4.0) nie stosuje wewnętrznego sprawdzania minimalnego wieku wydania (minimumReleaseAge) do aktualizacji typu digest. Gdy repozytorium ma skonfigurowane minimumReleaseAge i zależności z updateType=digest (np. GitHub Actions przypięte do SHA, obrazy Docker, moduły Go, pakiety NuGet), Renovate nadal otwiera pull request dla nowo opublikowanego digestu, oznaczając go jedynie statusem renovate/stability-days.

Traefik w wersjach od v2.8.2 do v2.11.55 oraz od v3.0.0 do v3.7.11 nie stosuje ustawień entryPoints.<name>.transport.respondingTimeouts (w szczególności readTimeout, domyślnie 60s) do ścieżki żądań HTTP/3. readTimeout jest egzekwowany jako deadline na połączeniu TCP, czego nie można zastosować do strumienia QUIC, a serwer HTTP/3 w Traefik jest tworzony bez żadnego timeoutu. W efekcie nieuwierzytelniony zdalny klient może przesyłać bajty ciała żądania powoli i utrzymywać żądanie otwarte bezterminowo.

AVideo do rewizji c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) niekompletnie oczyszcza wrażliwe pola użytkownika w odpowiedzi APIName=video. Wiersze wideo zawierają kolumny dołączone z rekordu właściciela, a API::get_api_video() wywołuje removeSensitiveUserFields() tylko gdy wywołujący nie jest uwierzytelniony i nie używa ważnego sekretu API; nigdy nie porównuje User::getId() z users_id wiersza. W rezultacie każde konto o niskich uprawnieniach może zażądać wideo innego użytkownika i otrzymać jego adres e-mail, nazwę konta (user) oraz flagi isAdmin, canUpload i canStream.

WWBN AVideo do commita c3edcc274c389816d434acadac07ee78eaf330c1 (master, 2026-08-23) zawiera podatność CSRF w punkcie końcowym plugin/CustomizeUser/setSubscribers.json.php wtyczki CustomizeUser. Skrypt odczytuje users_id i ExtraSubscribers z $_REQUEST i wywołuje User::setExtraSubscribers() bez wymogu żądania POST ani ważnego tokenu CSRF; autoCSRFGuard() jest stosowany tylko do żądań POST do *.json.php, a mutacja nie przechodzi przez ObjectYPT::save()/isUntrustedRequest(), więc cross-origin GET kończy się sukcesem. Nieuwierzytelniony zdalny atakujący może nakłonić zalogowanego administratora do wczytania spreparowanej strony (np. tagu <img> wskazującego na endpoint) i sfałszować liczbę ExtraSubscribers wyświetlaną na kanale dowolnego użytkownika.

Capgo nie usuwa nadpisań uprawnień kanałów po usunięciu ostatniego przypisania roli organizacyjnej użytkownika, pozostawiając aktywne nieaktualne nadpisania. Atakujący mogą zachować uprawnienia specyficzne dla kanału po odebraniu podstawowego dostępu RBAC i wykonywać nieautoryzowane działania, takie jak zmiana produkcyjnych wersji OTA.