Katalog podatności CVE

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.9 nie sanityzuje i nie escapuje atrybutu shortcode'a przed wypisaniem go w atrybucie HTML, co pozwala użytkownikom z rolą Contributor i wyższą na wstrzykiwanie dowolnych skryptów webowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.

Wtyczka SureCart dla WordPressa przed wersją 4.7.0 nie konsultuje ustawienia rejestracji użytkowników w witrynie przed tworzeniem kont WordPress, co pozwala nieuwierzytelnionym użytkownikom na utworzenie konta i otrzymanie zalogowanej sesji nawet wtedy, gdy rejestracja jest wyłączona.

Motyw Real Estate Papi dla WordPressa do wersji 1.0.5 nie przeprowadza kontroli uprawnień ani CSRF na jednej ze swoich akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na zainstalowanie stałego zestawu wtyczek towarzyszących z repozytorium WordPress.org. Jeśli żądanie jest wykonywane w sesji użytkownika, który może aktywować wtyczki, te wtyczki są również aktywowane.

W systemie DefaultFuction CRM 1.0.0 wykryto podatność na iniekcję SQL w pliku /modules/orders/edit.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia kodu SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność SQL injection w pliku /pages/trans_view.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W systemie itsourcecode Sales and Inventory System 1.0 wykryto podatność SQL injection w pliku /pages/pro_del.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Tenda CP3 27.5.57.101 wykryto podatność w nieznanej funkcji pliku custom-x/softap/hostapd. Manipulacja argumentem wpa_passphrase prowadzi do użycia twardo zakodowanych poświadczeń. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Podatność w filtrze kontroli dostępu do wewnętrznych API N-central umożliwia nieautoryzowany dostęp do wewnętrznych API. Problem naprawiono w N-central 2026.3 HF3 i 2026.4.

Interpretator BPF w libpcap dla instrukcji ALU 'div #k' i 'mod #k' nie sprawdza, czy wartość bezpośrednia jest zerowa. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może spowodować dzielenie przez zero.

Interpretator BPF w libpcap nie wykrywa ani osiągnięcia końca bufora programu filtrującego z powodu braku instrukcji return, ani wykonania instrukcji skoku z przesunięciem wskazującym poza bufor. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może spowodować, że interpretator spróbuje odczytać pamięć procesu systemu operacyjnego w obszarze 32 GiB wokół bufora na architekturach 64-bitowych i w całej przestrzeni adresowej na architekturach 32-bitowych.

Interpretator BPF w libpcap wywołuje funkcję abort(), jeśli napotka instrukcję BPF z nieprawidłowym kodem operacji. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może zakończyć proces systemu operacyjnego.

rpcapd może przydzielić do 65536 bajtów na każdą wiadomość RPCAP_MSG_UPDATEFILTER_REQ lub RPCAP_MSG_STARTCAP_REQ otrzymaną od klienta, ale nigdy nie zwalnia tej pamięci, więc wycieka pamięć nawet podczas normalnego użytkowania. Złośliwy klient może spowodować znacznie szybszy wyciek pamięci serwera.

Kod klienta rpcap, który przetwarza wiadomość RPCAP_MSG_PACKET otrzymaną od serwera, nieprawidłowo waliduje jej nagłówki. Złośliwy serwer może wysłać spreparowaną wiadomość i spowodować, że klient potraktuje do 20 bajtów pamięci procesu klienta poza końcem bufora jako część przechwyconego pakietu.

Nieprawidłowa walidacja określonej ilości w danych wejściowych w ash-project ash pozwala atakującemu na przechowywanie wartości o dowolnym rozmiarze w atrybucie, którego ograniczenie długości powinno ją ograniczać. Ash mierzy długość stringa za pomocą String.length/1 z Elixira, która liczy grafy Unicode, w ograniczeniach max_length i min_length Ash.Type.String, w Ash.Resource.Validation.StringLength oraz w funkcji wyrażenia string_length. Graf może zawierać nieograniczoną liczbę znaków łączących, więc podstawowy znak z milionem akcentów ostrych to jeden graf i megabajty danych, spełniający max_length: 2. Tam, gdzie warstwa danych nie nakłada niezależnego limitu (ETS, Mnesia lub kolumna text w Postgresie), cała wartość jest zapisywana, więc atakujący może zapisać całe ciało żądania do atrybutu z małym maksimum i nieograniczenie zwiększać pamięć. Jednostka liczenia różni się również od warstwy przechowywania, która liczy punkty kodowe, a nie grafy, więc wartość zaakceptowana przez ograniczenie może zostać odrzucona lub obcięta przez kolumnę. Kolumna varchar(n) w Postgresie ogranicza samą wartość i nie jest narażona. Problem dotyczy ash: od 0.10.0 przed 3.33.0.

Grav przed wersją 2.0.20 zawiera podatność na cross-site scripting w polityce sandboxa Twig, która zezwala na metody addJs i addCss w Grav\Common\Assets bez odpowiedniego escapowania wyjścia. Edytorzy stron mogą wstrzykiwać dowolny skrypt poprzez rejestrowanie złośliwych zasobów lub wstrzykiwanie atrybutów, które są renderowane bez escapowania w tagach head dokumentu i wykonywane dla wszystkich odwiedzających, w tym administratorów.

Wtyczka Grav Form przed wersją 9.1.22 nie weryfikuje autoryzacji strony podczas rozwiązywania formularzy po nazwie między stronami, co pozwala anonimowym odwiedzającym na wykonywanie akcji formularzy zdefiniowanych na stronach ograniczonych logowaniem lub nieopublikowanych. Atakujący mogą wysyłać POST do dowolnej publicznej strony z nazwą ograniczonego formularza, aby wywołać akcje zapisu, uploadu, e-maila lub wywołania bez uwierzytelnienia.

SiYuan przed wersją v3.8.2 nie filtruje prawidłowo prywatnych wartości komórek widoku atrybutów w punkcie końcowym getAttributeViewKeys. Czytelnicy publikacji mogą pobierać ukryte ładunki KeyValues z wierszy powiązanych z niedostępnymi dokumentami, ujawniając prywatne treści baz danych bez autoryzacji.

SiYuan przed wersją v3.8.2 zawiera podatność na ujawnienie informacji w punkcie końcowym getAttributeViewKeysByID, która pozwala czytelnikom publikacji na wyliczanie prywatnych definicji kluczy widoku atrybutów bez weryfikacji widoczności nadrzędnej bazy danych. Atakujący mogą uzyskać dostęp do punktu końcowego, aby pobrać kompletne schematy kluczy, w tym wrażliwe nazwy pól i definicje relacji z ukrytych baz danych.

WWBN AVideo generuje hasła dla kont logowania zewnętrznego za pomocą rand() zamiast generatora kryptograficznego, co daje tylko 31-bitowe liczby całkowite. Atakujący mający dostęp do skrótów haseł mogą odzyskać hasła w postaci jawnej w ciągu minut poprzez atak brute-force offline z powodu niesolonego haszowania opartego na MD5.