Katalog podatności CVE

Wtyczka MotoPress Appointment Booking dla WordPressa przed wersją 2.4.8 nie przeprowadza kontroli autoryzacji ani własności podczas obsługi identyfikatora rezerwacji dostarczonego przez użytkownika na nieuwierzytelnionym punkcie końcowym, co pozwala nieuwierzytelnionym atakującym trwale usuwać rezerwacje innych użytkowników. Jest to niepełna poprawka CVE-2026-9180: usuwanie pozostaje osiągalne na stronach korzystających z potwierdzenia płatności, potwierdzone do wersji 2.4.7.

Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie wymaga uwierzytelnienia ani ważnego tokenu żądania przed uruchomieniem łańcucha akcji po dokonaniu rezerwacji, co pozwala nieuwierzytelnionemu użytkownikowi wywołać powiadomienia o rezerwacji i wywołania zwrotne integracji dla rezerwacji poprzez enumerację jej identyfikatora.

Wtyczka Ultimate Before After Image Slider & Gallery dla WordPressa przed wersją 4.7.19 nieprawidłowo escapuje wartość etykiety 'przed' suwaka przed jej ponownym wstrzyknięciem do DOM przez dołączony skrypt po stronie klienta, co pozwala użytkownikom z rolą Autora i wyżej przechowywać ładunek, który wykonuje się w przeglądarce każdego (w tym administratora), kto ogląda suwak.

Wtyczka Ultimate Before After Image Slider & Gallery dla WordPressa przed wersją 4.7.19 nieprawidłowo escapuje wartość etykiety 'po' suwaka przed jej ponownym wstrzyknięciem do DOM przez dołączony skrypt po stronie klienta, co pozwala użytkownikom z rolą Autora i wyżej przechowywać ładunek, który wykonuje się w przeglądarce każdego (w tym administratora), kto ogląda suwak.

Motyw Divi dla WordPressa jest podatny na trwały cross-site scripting przez funkcję Dynamic Content w starszym formacie JSON we wszystkich wersjach do 4.27.6 włącznie. Wynika to z dwóch nakładających się wad: (1) filtr sanityzacji przy zapisie `et_builder_sanitize_dynamic_content_fields()` szuka tylko znaczników dynamicznej treści w formacie `@ET-DC@...@`, ale silnik renderujący obsługuje również starszy format JSON, który jest po cichu konwertowany w czasie renderowania, całkowicie omijając filtr przy zapisie, oraz (2) resolver `post_meta_key` w `et_builder_filter_resolve_default_dynamic_content()` nie stosuje `wp_kses_post()` do rozwiązanej wartości meta, gdy `enable_html` jest ustawione na `on`, przekazując surowe dane z `get_post_meta()` bezpośrednio na stronę. To umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyżej wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Zidentyfikowano podatność w aplikacji MapQuest Get Directions App 10.16.1 na Androidzie. Podatność dotyczy funkcji getDataColumn pliku ExpoShareIntentModule.kt komponentu com.mapquest.android.ace. Manipulacja prowadzi do przejścia ścieżki. Atak musi być przeprowadzony lokalnie. Exploit jest publicznie dostępny i może być użyty. Dostawca został wcześnie poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.

Wykryto podatność w aplikacji AirAsia MOVE do wersji 12.47.1 na Androidzie. Problem dotyczy funkcji com.airasia.core.utils.RealPathUtil.getRealPath komponentu com.airasia.mobile. Manipulacja argumentem _display_name prowadzi do przejścia ścieżki. Atak wymaga podejścia lokalnego. Exploit jest już publiczny i może być użyty. Dostawca został wcześnie poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.

Znaleziono błąd w przepływie pierwszego logowania brokera w usłudze zarządzania tożsamością Keycloak. Gdy użytkownik łączy konto dostawcy tożsamości społecznościowej ze swoim lokalnym kontem, generowany dowód weryfikacji nie jest ściśle powiązany z konkretną tożsamością upstream, która jest weryfikowana. Pozwala to atakującemu z innym kontem u tego samego dostawcy społecznościowego na przechwycenie procesu i powiązanie własnego konta z profilem ofiary, uzyskując nieautoryzowany dostęp.

NocoBase nie dezynfekuje wartości pól tekstu sformatowanego w rendererze odczytu, co pozwala użytkownikom z uprawnieniami do tworzenia na przechowywanie złośliwego HTML z procedurami obsługi zdarzeń. Atakujący mogą zapisywać dowolny znacznik przez API kolekcji, który wykonuje się w przeglądarkach wszystkich użytkowników przeglądających rekord.

PX4 Autopilot zawiera podatność przepełnienia bufora sterty w poleceniu sd_bench, które zapisuje czterobajtowy numer bloku do alokacji o rozmiarze podanym przez użytkownika. Atakujący mogą wywołać sd_bench z rozmiarem bloku mniejszym niż cztery bajty, aby przepełnić bufor sterty i potencjalnie wykonać kod lub spowodować awarię systemu.

Funkcja listy deny IsInternalIP w Mailpit nie blokuje adresu Azure WireServer 168.63.129.16 oraz prefiksu IPv6 tłumaczonego z IPv4 zgodnie z RFC 2765/6145, co umożliwia podatność na fałszowanie żądań po stronie serwera (SSRF) do wewnętrznych celów. Atakujący mogą podać nazwy hostów rozwiązujące się na te adresy w treści wiadomości, aby dotrzeć do API sprawdzania linków i punktu końcowego proxy w celu uzyskania dostępu do wewnętrznych zasobów.

Wykryto podatność w gouguoa do wersji 5.10.0/6.0.1. Dotyczy ona funkcji update w pliku app/home/controller/Index.php komponentu edit_personal Endpoint. Manipulacja argumentem position_id prowadzi do dynamicznie określanych atrybutów obiektu. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 6.0.3 rozwiązuje ten problem.

Podatność wykryto w zhayujie CowAgent do wersji 2.1.7. Dotyczy ona nieznanej funkcji w pliku agent/tools/bash/bash.py komponentu Bash Tool. Wykonanie manipulacji może prowadzić do odmowy usługi. Atak może być uruchomiony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został wcześnie poinformowany, ale nie odpowiedział.

Podatność wykryto w zhayujie CowAgent do wersji 2.1.3. Dotyczy ona funkcji BrowserTool w pliku agent/tools/browser/browser_tool.py komponentu Browser Tool. Wykonanie manipulacji prowadzi do odmowy usługi. Atak może być zainicjowany zdalnie. Exploit został upubliczniony i może być użyty. Producent został wcześnie poinformowany, ale nie odpowiedział.

Niewłaściwe zarządzanie uprawnieniami w Downloads w Google Chrome przed wersją 152.0.7977.75 pozwoliło zdalnemu atakującemu, który skompromitował proces renderowania, na sfałszowanie paska adresu przez spreparowaną stronę HTML. (Waga bezpieczeństwa Chromium: Średnia)

Nieprawidłowa walidacja danych wejściowych w Omnibox w Google Chrome przed wersją 152.0.7977.75 umożliwiła zdalnemu atakującemu wykorzystującemu socjotechnikę obejście polityki pochodzenia strony internetowej poprzez spreparowany ruch sieciowy. (Waga: wysoka)

Błędna prezentacja interfejsu użytkownika w trybie pełnoekranowym w Google Chrome przed wersją 152.0.7977.75 umożliwiła zdalnemu atakującemu sfałszowanie paska adresu za pomocą spreparowanej strony HTML. (Waga: niska)

Wyciek informacji w MediaCapture w Google Chrome przed wersją 152.0.7977.75 umożliwił zdalnemu atakującemu potencjalny wyciek wrażliwych informacji za pomocą spreparowanej strony HTML. (Waga: średnia)

Nieprawidłowa autoryzacja w komponencie SiteSettings w przeglądarce Google Chrome przed wersją 152.0.7977.75. Zdalny atakujący mógł ominąć ograniczenia dostępu do systemu za pomocą spreparowanej strony HTML.

Błędna prezentacja interfejsu użytkownika w komponencie FullScreen w przeglądarce Google Chrome na Androidzie przed wersją 152.0.7977.75. Zdalny atakujący mógł sfałszować pasek adresu za pomocą spreparowanej strony HTML.