Katalog podatności CVE

Komodo do wersji 2.3.3 zawiera podatność na obejście uwierzytelniania w agencie Periphery, która pozwala nieuwierzytelnionym atakującym połączyć się jako zaufany Core, ponieważ puste listy core_public_keys i passkeys domyślnie zawodzą w sposób otwarty. Atakujący mający dostęp do portu 8120 może przedstawić dowolną wygenerowaną parę kluczy, aby wysyłać żądania API Periphery, w tym sesje terminala i operacje na kontenerach, wykonując polecenia na zarządzanych hostach zwykle jako root.

vlife do wersji 2.0.1 zawiera podatność na obejście uwierzytelniania, która pozwala nieuwierzytelnionym atakującym sfałszować tokeny JWT przy użyciu zakodowanego na stałe klucza podpisywania HS256 w TokenUtil. Atakujący może podpisać token z superUser=true i dowolnymi roszczeniami groupIds, aby uzyskać dostęp superadministratora do dowolnego URL w instancjach vlife.

Biblioteka office-converter do wersji 1.0.2 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego. Atakujący może przekazać spreparowaną nazwę pliku fileName do funkcji generatePdf() lub generateHtml(), osadzając $(...), backticki lub zamykający cudzysłów z metaznakami powłoki w nazwie pliku, która jest łączona z poleceniem unoconv uruchamianym przez child_process.exec(), co pozwala na wykonanie poleceń z uprawnieniami procesu Node.js.

Podatność SQL Injection (CWE-89) występuje w metodzie SOAP GetUser na endpointcie /preapproval.asmx w Channel Software WebAlliance eCommerce. Nieuwierzytelniony zdalny atakujący może odczytywać, zapisywać, a potencjalnie także wykonywać polecenia na backendowym serwerze Microsoft SQL Server poprzez spreparowaną wartość parametru sUserID zawierającą apostrof i dołączone zapytanie SQL.

Podatność typu OS Command Injection (niewłaściwa neutralizacja specjalnych elementów w poleceniach systemu operacyjnego) występuje w TR7 ASP firmy TR7 Cyber Defense Inc. zarówno w wersji na urządzeniu wirtualnym, jak i fizycznym. Podatność pozwala na wstrzyknięcie i wykonanie dowolnych poleceń systemowych.

Podatność polegająca na braku uwierzytelniania dla krytycznej funkcji występuje w TR7 ASP firmy TR7 Cyber Defense Inc. zarówno na urządzeniu wirtualnym, jak i fizycznym. Brak uwierzytelniania umożliwia wstrzyknięcie i wykonanie poleceń systemu operacyjnego.

Podatność polegająca na deserializacji niezaufanych danych występuje w wtyczce Affiliates firmy itthinx (WordPress). Umożliwia ona wstrzyknięcie obiektu (Object Injection), co może prowadzić do wykonania nieautoryzowanych działań.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień występuje we wtyczce Frontend Dashboard autorstwa M A Vinoth Kumar. Umożliwia ona eskalację uprawnień, pozwalając użytkownikom na uzyskanie wyższych uprawnień niż powinni posiadać.

Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.

W aplikacji webowej do fakturowania klientów występuje luka polegająca na braku kontroli autoryzacji w punkcie końcowym udostępniającym pliki PDF z fakturami. Powoduje to ujawnienie danych osobowych (PII) i finansowych, takich jak nazwiska, adresy, numery faktur, dane płatności i informacje podatkowe, osobom nieupoważnionym. Niektóre adresy URL dokumentów fakturowania są także publicznie dostępne przez wyszukiwarki, co dodatkowo ułatwia dostęp do poufnych plików.

Wtyczka SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications dla WordPressa w wersjach do 3.10.0 włącznie jest podatna na eskalację uprawnień. Akcja AJAX `wp_ajax_nopriv_simpleform_wp_register` nie sprawdza uprawnień do przypisywania ról, a funkcja `save_custom_fields_to_user_meta()` używa listy wykluczeń pomijającej `wp_capabilities`, co w połączeniu z domyślnymi ustawieniami `get_form_settings()` umożliwia nieuwierzytelnionemu atakującemu utworzenie konta administratora WordPressa. Wymagany nonce jest publicznie ujawniany w obiekcie JavaScript `front_end_data` na każdej stronie front-endu, więc każdy niezalogowany odwiedzający może go łatwo pozyskać.

Parametr pobierany z treści żądania jest wstawiany do instrukcji T-SQL bez parametryzacji ani escapowania. Umożliwia to zdalnemu atakującemu wykonanie dowolnych instrukcji SQL w kontekście konta bazy danych aplikacji.

Wtyczka File Upload to Order dla WordPressa przed wersją 1.1.4 nie weryfikuje ani nie ogranicza ścieżki pliku pobranej z danych sesji kontrolowanych przez atakującego przed usunięciem pliku, a akcja wykonująca usunięcie jest osiągalna przez nieuwierzytelnionych użytkowników, co pozwala im na usuwanie dowolnych plików na serwerze, w tym plików, których usunięcie prowadzi do całkowitego przejęcia witryny.

Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.

Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.

Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.

Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.

Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.

Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.

Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.