Katalog podatności CVE

nopCommerce przed wersją 5.00.0 zawiera podatność braku autoryzacji w handlerach administracyjnych ProductController RelatedProductAddPopup, CrossSellProductAddPopup i AssociatedProductAddPopup, które nie weryfikują własności produktu nadrzędnego. Uwierzytelnieni sprzedawcy mogą przesłać identyfikator produktu innego sprzedawcy jako model.ProductId, aby wstrzyknąć swoje produkty do list produktów powiązanych, cross-sell i grupowych ofiary.

GROWI zawiera podatność braku sprawdzania autoryzacji w funkcji edycji współpracy. Wykorzystując tę podatność, użytkownik z uprawnieniami tylko do odczytu, w tym użytkownik gość, lub użytkownik o statusie oczekującym, zawieszonym lub zaproszonym, może modyfikować wersje robocze stron.

Wtyczka All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'more_link' we wszystkich wersjach do 4.9.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

GROWI zawiera podatność obejścia autoryzacji w API aktualizacji tagów i API aktualizacji stron z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, atakujący mogący zalogować się do produktu może uzyskać zawartość stron bez wymaganych uprawnień do odczytu i zapisać je na stronach, które może edytować.

Wtyczka All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'custom_fields[embedcode]' we wszystkich wersjach do 4.9.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Obejście sanityzacji jest możliwe, ponieważ handler save_meta_data() zwraca wcześnie, gdy brakuje $_POST['post_type'] — warunek zawsze prawdziwy podczas żądań XML-RPC — a wtyczka bezwarunkowo przyznaje subskrybentom uprawnienie publish_aiovg_videos, co czyni to wykorzystywalnym przez każdego uwierzytelnionego użytkownika poprzez pojedyncze wywołanie wp.newPost XML-RPC.

Wtyczka AI Engine – The Chatbot, AI Framework & MCP dla WordPress jest podatna na ograniczone usuwanie plików multimedialnych z powodu niewystarczającej walidacji ścieżki pliku w funkcji upload_file we wszystkich wersjach do 3.8.4 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym usuwanie dowolnych plików multimedialnych na serwerze. Wymaga to włączenia opcji Public API przez administratora, a wykorzystanie zależy od uruchomienia godzinowego zadania cleanup_files po złośliwym przesłaniu.

Wtyczka Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin dla WordPress jest podatna na przechowywany cross-site scripting poprzez parametr 'user_url' we wszystkich wersjach do 2.14.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykorzystanie wymaga kliknięcia przez odwiedzającego linku Website URL atakującego na jego publicznym profilu Ultimate Member, co jest trywialnie spełnione, ponieważ handler onclick potwierdzenia przekierowania jest domyślnie włączony we wszystkich nowych instalacjach.

GROWI zawiera podatność obejścia autoryzacji w funkcjonalności przeglądania stron i komentowania z powodu niewłaściwego użycia klucza kontrolowanego przez użytkownika. Wykorzystując tę podatność, uwierzytelniony atakujący może uzyskać zawartość i komentarze stron bez wymaganych uprawnień do odczytu.

C97net qEngine CMS do wersji 6.0.0, Kemana Directory do wersji 1.5.6 i Cart Engine do wersji 3.0.0 zawierają podatność lokalnego włączania plików w parametrze run w admin/task.php. Uwierzytelnieni administratorzy mogą dostarczyć sekwencje przechodzenia katalogów w parametrze run, aby włączyć i ujawnić lokalne pliki czytelne dla serwera WWW.

W produktach C97net qEngine CMS do wersji 6.0.0, Kemana Directory do 1.5.6 oraz Cart Engine do 3.0.0 występuje podatność ujawnienia informacji polegająca na pozostawieniu kopii zapasowych bazy danych w katalogu /admin/backup dostępnym przez WWW. Nieuwierzytelniony atakujący może wylistować katalog lub odgadnąć nazwy plików oparte na dacie (np. 'Full Backup YYYYMMDD.sql') i pobrać zrzuty zawierające rekordy użytkowników oraz hashe haseł administratorów.

Linksys WAG200G do wersji 1.01.06 zawiera podatność przechowywanego XSS, która pozwala uwierzytelnionym atakującym wstrzyknąć skrypty poprzez parametr policy_name w setup.cgi. Atakujący może zapisać złośliwą nazwę polityki na stronie AccessRes.htm, która wykonuje się w przeglądarkach administratorów podczas przeglądania strony Status > Wireless.

Linksys WAG200G do wersji 1.01.06 zawiera słaby mechanizm zmiany hasła, który pozwala atakującym zmienić hasło administratora bez podania aktualnego hasła. Atakujący mający dostęp do uwierzytelnionej sesji przeglądarki administratora może ustawić nowe hasło, blokując legalnego administratora i przejmując trwałą kontrolę nad urządzeniem.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja DataContext.dispatchExpressionError w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent Error Handler) ujawnia informacje poprzez komunikaty błędów. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny; poprawka ma nazwę 8f149a1c7b0ce1fa8e93ac3adfa5fda960faeb01.

W projekcie a2ui-project a2ui do wersji 0.10.6 funkcja w pliku renderers/web_core/src/v0_9/rendering/data-context.ts (komponent data-context Resolver) pozwala na zużycie zasobów. Atak można przeprowadzić zdalnie, a publiczny exploit został ujawniony; poprawka ma nazwę eb314e14fabd29cfb4a74e1202afc4fe2081efa2.

W produkcie jeremyckahn Chitchatter do wersji f82538633813c854a81a8b2112a2f6ba17b39cbc wykryto podatność w funkcji isConfigMessageEvent w pliku src/Bootstrap.tsx komponentu PostMessage Handler. Manipulacja argumentem parentDomain prowadzi do niewłaściwego uwierzytelniania, a exploit został publicznie ujawniony i może być wykorzystany. Poprawka nosi nazwę e3babb5cd83bfe3b99f1d82358ac5c1ea8e8a688.

W Thor Vector Graphics (ThorVG) przed wersją 1.0.7 funkcja SfntLoader::gen w tvgSfntLoader.cpp odczytuje dane bez sprawdzenia, czy bufor ma co najmniej 4 bajty, co prowadzi do odczytu poza granicami. Ładowanie zbyt małej czcionki przez API pamięciowe może spowodować awarię aplikacji lub ujawnienie sąsiedniej pamięci sterty.

Protokół weryfikacji intencji WebSub wymaga od subskrybenta odesłania wartości hub.challenge, ale nie wymusza bezpiecznego typu mediów odpowiedzi ani wyłączenia sniffingu MIME. Atakujący może przekierować przeglądarkę ofiary na spreparowane żądanie weryfikacyjne zawierające HTML lub JavaScript, co może prowadzić do wykonania kodu w kontekście subskrybenta.

Klucze prywatne ośmiu certyfikatów pośrednich CA eMudhra zostały skompromitowane, a certyfikaty unieważniono 18 października 2026. CVE-2026-22063 służy do śledzenia zmian w produktach NetApp, a nie do opisu luki w oprogramowaniu.

Podatność polegająca na niezainicjalizowanym zasobie w ANGLE w Google Chrome przed wersją 156.0.8078.73 umożliwia zdalnemu atakującemu odczyt pamięci poza piaskownicą za pomocą spreparowanej strony HTML.

Przepełnienie liczby całkowitej w Skia w Google Chrome przed wersją 156.0.8078.73 może umożliwić zdalnemu atakującemu wykonanie dowolnego kodu w piaskownicy za pomocą spreparowanej strony HTML.