Katalog podatności CVE

Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Wtyczka Slider Hero with Video Background, Animation dla WordPressa przed wersją 9.1.3 nie posiada kontroli autoryzacji i nonce w dwóch swoich handlerach żądań oraz nie escapuje zapisanej opcji przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie złośliwego JavaScriptu, który będzie wykonany w kontekście administratora przeglądającego panel administracyjny wtyczki, a także każdego odwiedzającego stronę z osadzonym sliderem.

Wtyczka Forminator Forms dla WordPressa przed wersją 1.57.0.5 nie ogranicza ustawienia sieciowego wyłącznie do administratorów sieci. Administrator dowolnej pojedynczej witryny w sieci multisite może wykonać dowolny kod w całej sieci.

Wtyczka ManageWP Worker dla WordPressa przed wersją 4.9.37 nie wiąże konta logującego się z podpisem autoryzującym logowanie, ani nie zapobiega ponownemu użyciu już wykorzystanego linku logowania. Atakujący, którzy zdobędą taki link, mogą uzyskać sesję jako dowolny użytkownik witryny, w tym administrator.

Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.

Moduł Tie::Hash::Regex dla Perla przed wersją 2.0.0 rzuca wyjątek przy niepoprawnych kluczach wyszukiwania. Metody FETCH, EXISTS i DELETE rzucają wyjątek, gdy klucz jest nieprawidłowym wyrażeniem regularnym, co może spowodować zakończenie działania aplikacji.

WeeChat w wersjach 0.3.1 do 4.9.0 używa funkcji porównujących ciągi znaków w czasie niezależnym od danych (weechat_strcasecmp i strcmp) do weryfikacji haseł i ich skrótów w uwierzytelnianiu relay. Atakujący może wykorzystać różnice czasowe, aby odczytać skrót hasła znak po znaku, a następnie uwierzytelnić się bez znajomości hasła. Problem został naprawiony w wersji 4.9.1.

FORT Validator w wersjach do 1.6.7 zawiera błąd walidacji pochodzenia w przetwarzaniu RRDP: delegowany CA pod tym samym TAL może odwoływać się do publicznych adresów RRDP ofiary, co powoduje, że cache pobierania oparty na URL zgłasza sukces po usunięciu lokalnego snapshotu ofiary. Może to prowadzić do cichego usunięcia VRP i innych podpisanych obiektów z danych wyjściowych FORT, umożliwiając przejęcie trasy lub utratę osiągalności. Wersja 1.6.8 zawiera poprawkę odrzucającą URL-e RRDP z innych źródeł.

Recce przed wersją 1.50.0, w przypadku serwerów OSS wystawionych na niezaufaną sieć bez uwierzytelniania, jest podatny na nieuwierzytelnione wykonywanie zapytań SQL przez API wykonywania zapytań. Gdy Recce jest skonfigurowany z projektem opartym na DuckDB, atakujący może użyć prymitywów systemu plików DuckDB do odczytu i zapisu plików dostępnych dla procesu serwera Recce.

Arc Enterprise przed wersją 26.06.1 w odbiorniku replikacji klastra waliduje tylko kopertę formatu wire (długość, opcode), a sam payload MsgReplicateSync jest akceptowany bez uwierzytelniania na poziomie aplikacji (brak HMAC, podpisu, nonce). Ochrona transportowa TLS/mTLS nie chroni przed manipulacją lub replayem na poziomie aplikacji. Problem naprawiono w wersji 2026.06.1.

Arc Enterprise przed wersją 26.06.1 w Raft FSM akceptuje ścieżki plików wybrane przez atakującego w propozycjach rejestracji manifestu bez walidacji względem skonfigurowanego backendu. Jedynym sprawdzeniem jest niepustość ścieżki; brak odrzucania przejść nadrzędnych (..), listy dozwolonych prefiksów, ograniczeń schematu (s3:// vs lokalny) ani limitu długości. Problem naprawiono w wersji 2026.06.1.

Arc przed wersją 26.06.1 rejestruje handlery net/http/pprof pod /debug/pprof/* i dodaje /debug/pprof do PublicPrefixes, co powoduje, że endpointy są dostępne bez uwierzytelnienia. Wersja 26.06.1 zawiera poprawkę. Dostępne są obejścia, takie jak blokowanie /debug/pprof* na reverse proxy lub ograniczenie portu API do zaufanych sieci.

Arc przed wersją 26.06.1 w walidatorze SQL blokował tylko read_parquet( i arc_partition_agg( przez regex, pozostawiając inne funkcje DuckDB (read_csv, read_json, glob itp.) niezablokowane. RBAC sprawdzał tylko klauzule FROM/JOIN, więc funkcje skalarne w SELECT omijały zabezpieczenia. Poprawka w 26.06.1 wprowadza sandbox na poziomie DuckDB, który blokuje dostęp do plików spoza listy dozwolonych.

Combodo iTop przed wersją 3.2.3 chroni tylko klasy obecne w klauzuli SELECT przed sprawdzeniem dostępu silos w OQL. Problem naprawiono w wersji 3.2.3.

RaTeX przed wersją 0.1.11 panikuje na 9-bajtowym wejściu \verbéxé, gdy parser tnie argument verbatim używając indeksów bajtowych, a indeks 1 trafia w środek wielobajtowego znaku UTF-8. Ponieważ profil wydania ustawia panic = "abort", panika przerywa cały proces, co stanowi twardą odmowę usługi. Wersja 0.1.11 naprawia problem.

LeafWiki w wersjach 0.3.0 do 0.10.0 ma podatność na path traversal w funkcji zmiany nazwy zasobów. Uwierzytelniony użytkownik z uprawnieniami edytora może przenieść pliki dostępne dla procesu LeafWiki do katalogu zasobów strony, co może umożliwić pobranie wrażliwych plików, takich jak baza danych. Zalecana jest aktualizacja do wersji 0.10.1 lub nowszej.

LeafWiki w wersjach 0.1.0 do 0.10.0 zawiera podatność na eskalację uprawnień w API aktualizacji użytkownika. Zalogowany użytkownik może zmienić swoją rolę z np. 'viewer' na 'admin'. Wymaga to posiadania ważnego konta w LeafWiki.

Combodo iTop przed wersją 3.2.3 ma podatność pozwalającą na ominięcie uwierzytelniania. Niezalogowany zdalny atakujący może wykonać dowolne pliki PHP z katalogu env-production na nowej instancji iTop w środowisku produkcyjnym.

Combodo iTop przed wersją 3.2.3 zawiera podatność Reflected Cross-Site Scripting (XSS) w API kryteriów wyszukiwania kluczy obcych. Atakujący może wstrzyknąć złośliwy skrypt do parametrów zapytania.

Combodo iTop przed wersją 3.2.3 umożliwia użytkownikom dostęp do nieautoryzowanych informacji o obiektach poprzez operację wyszukiwania. Użytkownik może odczytać dane, do których nie ma uprawnień.