Katalog podatności CVE

Wtyczka MxChat – AI Chatbot & Content Generation dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 3.2.10 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka MultiVendorX dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'order_by' w wersjach do 5.0.9 włącznie. Brak odpowiedniego escapowania i przygotowania zapytania SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym dołączanie dodatkowych zapytań SQL.

Wtyczka List category posts dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 0.95.0 włącznie, poprzez funkcję sanitize_status. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym, wyodrębnienie tytułów, pełnej treści, fragmentów, dat, autorów i metadanych pól niestandardowych oczekujących na recenzję, zaplanowanych i usuniętych postów innych użytkowników, poprzez osadzenie spreparowanego shortcode'u [catlist] we własnym szkicu i jego podgląd.

Wtyczka Landing Page Builder dla WordPressa jest podatna na atak Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.5.3.6 włącznie. Brak walidacji tokena nonce w funkcji ulpb_admin_ajax umożliwia nieuwierzytelnionym atakującym wykonanie nieautoryzowanych działań na stronach i meta-danych postów.

W produkcie TOKO-ONLINE-ROTI do wersji ddfe1cd587be0a0b5135d8b6e85cce2ec3aece99 wykryto podatność w nieznanej funkcji pliku proses/add.php. Manipulacja argumentem kd_cs prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie.

Podatność w Anubis Web AI Firewall Utility od wersji 1.22.0 do 1.26.0-pre1 pozwala atakującemu na ominięcie wyzwania Anubis poprzez manipulację nagłówkiem X-Original-URI. Funkcja PathChecker.Check() ufała kontrolowanemu przez klienta nagłówkowi przed dopasowaniem do ścieżki URL, co umożliwiało wykorzystanie reguł ALLOW dla wzorców takich jak ^/\.well-known/.*$.

Wekan do wersji 9.34 zawiera podatność w metodzie cloneBoard, która pozwala uwierzytelnionemu użytkownikowi na sklonowanie dowolnej tablicy (znając jej ID) bez sprawdzania uprawnień. Umożliwia to odczyt kart, komentarzy, załączników, informacji o członkach i aktywności z tablic prywatnych.

W Wekan przed wersją 9.32 adresy URL webhooków przechowywane z danych wejściowych użytkownika nie są weryfikowane pod kątem połączeń do sieci wewnętrznych. Administrator tablicy może skonfigurować webhooki prowadzące do żądań serwerowych do wewnętrznych lub metadanych usług.

W Wekan przed wersją 9.32, REST-owe procedury obsługi w server/models/customFields.js używają sprawdzania dostępu na poziomie odczytu (Authentication.checkBoardAccess) zamiast zapisu (Authentication.checkBoardWriteAccess) dla tras modyfikujących pola niestandardowe. Członek tablicy z uprawnieniami tylko do odczytu może wywoływać procedury POST, PUT i DELETE dla /api/boards/:boardId/custom-fields oraz elementów list rozwijanych pól niestandardowych, aby tworzyć, aktualizować lub usuwać niestandardowe pola tablicy.

Podatność typu Stored Cross-Site Scripting (XSS) w pluginie YouTubeAPI platformy AVideo (wersje 29.0 i starsze). Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez ustawienie tytułu filmu na YouTube, który jest następnie wyświetlany na stronie głównej AVideo bez kodowania HTML.

W AVideo przed wersją 29.0 występuje nieuwierzytelniona, odbita podatność XSS w paginacji galerii YouTubeAPI. Parametr $_GET['search'] jest bezpośrednio konkatenowany do atrybutu href linków paginacji bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnego kodu JavaScript.

W bibliotece Dulwich w wersji do 1.1.0 w pliku contrib/paramiko_vendor.py brakuje weryfikacji klucza hosta SSH. Oznacza to, że podczas połączeń SSH nie jest sprawdzane, czy klucz publiczny serwera jest zaufany.

Przepełnienie sterty w funkcji ifsbreakup() w shell/ash.c Busybox v1.38.0. Atakujący może spowodować odmowę usługi (DoS) poprzez dostarczenie spreparowanego wejścia.

W aplikacji xxl-job-admin w wersji 3.0.0 wykryto podatność na atak typu Cross Site Scripting (XSS). Zdalny atakujący może wykorzystać spreparowane żądanie HTTP GET zawierające złośliwy skrypt do wykonania dowolnego kodu w kontekście przeglądarki ofiary.

Listmonk przed wersją 6.2.0 zawiera podatność na wstrzykiwanie SQL w endpointcie GET /api/subscribers/export. Parametr zapytania kontrolowany przez użytkownika jest przekazywany do funkcji QuerySubscribersForExport bez walidacji, co pozwala uwierzytelnionemu użytkownikowi z odpowiednimi uprawnieniami na odczyt dowolnych tabel bazy danych oraz wykonywanie modyfikujących dane wyrażeń CTE w PostgreSQL.

W 9Router przed wersją 0.5.6, endpoint walidacji klucza API Kiro (POST /api/oauth/kiro/api-key) konstruuje adres URL upstream na podstawie wartości regionu kontrolowanej przez użytkownika. Umożliwia to uwierzytelnionemu atakującemu przekazanie spreparowanego regionu (np. kiro-canary.local:8443#) i skierowanie żądania walidacji do kontrolowanego przez siebie hosta, jednocześnie przesyłając klucz API Kiro w nagłówku Authorization.

W n8n-MCP przed wersją 2.57.4, w trybie wielodostępnym HTTP z włączoną opcją ENABLE_MULTI_TENANT=true, uwierzytelniony najemca mógł uzyskać dostęp do kopii zapasowych workflow_versions o domyślnym zakresie, zamiast być ograniczonym do swojego zakresu najemcy. Problem umożliwiał ujawnienie lub usunięcie kopii zapasowych wersji przepływów pracy z wcześniejszych wdrożeń jedno- lub wielodostępnych.

Podatność w NocoBase przed wersją 2.1.19 pozwalała na wstrzyknięcie poleceń systemowych podczas przywracania kopii zapasowej PostgreSQL. Atakujący z uprawnieniami do zarządzania kopiami zapasowymi mógł umieścić złośliwą wartość w polu database.schema w pliku _metadata.json, która była następnie interpolowana do polecenia powłoki wykonywanego przez child_process.exec().

CVE-2026-55399 to podatność na wyczerpanie zasobów w Secure Access publisher przed wersją 14.55. Atakujący z ważnymi poświadczeniami do tunelu Secure Access mogą przeprowadzić nieutrwalony atak DoS na publisher.

W NocoBase w wersji 2.0.59 i wcześniejszych, funkcja checkSQL() w pluginie collection-sql nie blokuje dostępu do systemowych tabel katalogowych PostgreSQL, takich jak pg_shadow, pg_roles i pg_stat_activity. Użytkownik z rolą administratora może odczytać hashe haseł i metadane bazy danych poprzez funkcję SQL Collection.