Katalog podatności CVE

HCL Traveler for Microsoft Outlook (HTMO) zawiera podatność na przejęcie biblioteki DLL, która może umożliwić atakującemu modyfikację lub zastąpienie aplikacji złośliwą zawartością.

Wtyczka ChatHelp dla WordPressa do wersji 3.5.1 włącznie zawiera podatność na trwałe ataki XSS poprzez atrybuty 'number' i 'group' w shortcode'ach. Brak odpowiedniego oczyszczania danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów webowych.

Wtyczka Kirki dla WordPressa jest podatna na atak typu Directory Traversal poprzez parametr 'family'. Uwierzytelnieni atakujący z dostępem na poziomie edytora lub wyższym mogą usuwać dowolne katalogi na serwerze.

Wtyczka ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 1.17.6 włącznie. Problem wynika z niewłaściwego weryfikowania uprawnień użytkownika przed wykonaniem akcji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym tworzenie dowolnych lokalizacji firm w bazie danych ERP.

Wtyczka Ninja Forms - Excel Export dla WordPressa do wersji 3.3.6 włącznie zawiera podatność na trwałe skrypty między witrynami (Stored XSS). Wynika to z braku kontroli uprawnień, weryfikacji nonce oraz sanityzacji danych wejściowych w handlerze AJAX save_filter(), który zapisuje surową tablicę $_POST['filter'] do opcji WordPressa, a następnie metoda get_filter_row() na ekranie administracyjnym Excel Export łączy zapisane wartości (field_key, condition, value) bezpośrednio w atrybutach HTML bez użycia esc_attr().

Wtyczka pCloud WP Backup dla WordPressa w wersjach do 2.0.3 zawiera podatność na ujawnienie wrażliwych informacji poprzez funkcję wp2pcl_ajax_process_request_inner. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wymusić utworzenie pełnej kopii zapasowej witryny, która jest zapisywana w publicznie dostępnym katalogu tmp/, ujawniając dane logowania do bazy danych, sól WordPressa oraz pełne źródła PHP.

Wtyczka Fense Proxy & VPN Blocker dla WordPressa do wersji 3.0.1 włącznie zawiera lukę umożliwiającą nieautoryzowaną modyfikację danych. Brakuje w niej sprawdzenia uprawnień oraz walidacji tokena nonce w funkcji fense_bpvt_save_settings(), która jest wywoływana zarówno przez uwierzytelnionych, jak i nieuwierzytelnionych użytkowników. Atakujący bez uwierzytelnienia może usunąć opcje wtyczki i dane tymczasowe, resetując jej klucz API i wymuszając ponowne pobranie stanu.

Wtyczka Ninja Forms - Excel Export dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 3.3.6 włącznie poprzez parametr 'spreadsheet_export_tmp_name'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym zapisywanie plików .xls/.xlsx w dowolnych lokalizacjach na serwerze, co może posłużyć do przeprowadzenia dalszych ataków.

Wtyczka Ninja Forms - Excel Export dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 3.3.6 włącznie. Podatność występuje przez parametr 'spreadsheet_export_form_id' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wyliczenie dowolnego ID formularza Ninja Forms oraz pobranie wszystkich przechowywanych danych zgłoszeń jako plik XLSX.

Wtyczki WooCommerce Placetopay Gateway oraz PlacetoPay/AvalPay Gateway dla WordPress są podatne na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'redirect-url' w wersjach do 3.2.2 włącznie. Podatność wynika z niewystarczającej sanitacji wejścia i braku odpowiedniego kodowania wyjścia.

Grav przed wersją 2.0.4 zawiera podatność na odmowę usługi przez wyrażenia regularne (ReDoS) w filtrze i funkcji regex_replace, które są dozwolone w piaskownicy treści Twig. Gdy przetwarzanie Twig w treści strony jest włączone (domyślnie wyłączone), uwierzytelniony edytor strony może dostarczyć katastrofalnie cofający się wzorzec PCRE, który jest przekazywany bezpośrednio do preg_replace() w PHP, powodując nieograniczone zużycie CPU i odmowę usługi dla procesu serwera WWW.

Wtyczka Grav Login przed wersją 3.8.11 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF) w zadaniu frontendowym login.regenerate2FASecret. Atakujący może nakłonić zalogowanego użytkownika do odwiedzenia złośliwej strony, co spowoduje wygenerowanie nowego sekretu TOTP bez wymaganego tokena CSRF lub weryfikacji nagłówka Origin/Referer, unieważniając dotychczasowy klucz uwierzytelniania dwuskładnikowego.

Podatność w Grav Flex-Objects przed wersją 1.4.3 umożliwia uwierzytelnionym użytkownikom z uprawnieniem api.access wykonywanie nieautoryzowanych operacji CRUD na katalogach bez skonfigurowanych uprawnień. Atakujący mogą tworzyć, odczytywać, aktualizować, usuwać i eksportować obiekty z dowolnego katalogu bez jawnej konfiguracji uprawnień, omijając zamierzone mechanizmy autoryzacji.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie autoryzacji w dyspozytorze poleceń umiejętności, co pozwala mniej zaufanym wywołującym na wykonywanie lub utrwalanie działań poza zamierzonym zakresem uprawnień. Atakujący mogą ominąć ograniczenia polityki narzędzi poprzez skonfigurowane ścieżki wejściowe, aby wykonać nieautoryzowane działania, gdy dotknięta funkcja jest włączona i osiągalna.

Podatność w OpenClaw MS Teams przed wersją 2026.5.12 umożliwia obejście autoryzacji poprzez powiązanie funkcji allowFrom z zmiennymi nazwami wyświetlanymi. Atakujący z niższym poziomem zaufania mogą wykonywać czynności wymagające silniejszej autoryzacji, wykorzystując to powiązanie.

OpenClaw 2026.5.12 przed 2026.5.26 zawiera podatność nieprawidłowej autoryzacji w funkcji ClickClack allowFrom. Gdy funkcja jest włączona, mniej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może wykonać działania poza zamierzoną autoryzacją, w tym uruchomić nieautoryzowane komendy.

W OpenClaw 2026.2.25 przed 2026.5.26, mniej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może ominąć ograniczenia szybkości uwierzytelniania WebSocket, które nie dotyczą przeglądarki. Gdy ta funkcja jest włączona i dostępna dla mniej zaufanego wejścia, może to zużywać zasoby bramy i zmniejszać dostępność usługi.

OpenClaw w wersjach od 2026.4.20 do 2026.5.28 zawiera obejście polityki w funkcji przesyłania multimediów QQBot. Wywołanie o niższym zaufaniu lub skonfigurowana ścieżka wejściowa może spowodować, że przesyłane multimedia dotrą do miejsc w sieci, które powinny być blokowane przez politykę OpenClaw (SSRF).

W OpenClaw przed wersją 2026.5.28 Bot Framework wykryto podatność polegającą na nieprawidłowej walidacji danych wejściowych. Umożliwia ona atakującym o niższym poziomie zaufania ujawnienie tokenów i poświadczeń bota poprzez dostarczenie złośliwych wartości parametru serviceUrl.

Podatność w OpenClaw przed wersją 2026.5.27 powoduje wyciek tokenów w żądaniach wychodzących do MS Teams, umożliwiając mniej zaufanym wywołującym ujawnienie tokenów Bot Framework. Atakujący mogą uzyskać dostęp do skonfigurowanych ścieżek wejściowych i przechwycić poświadczenia, które powinny pozostać w zaufanej granicy.