Katalog podatności CVE

Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie sprawdza uprawnień ani własności przed umożliwieniem moderacji ofert pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samodzielnie rejestrowanym) na zatwierdzanie, wyróżnianie lub odrzucanie dowolnych ofert pracy, w tym należących do innych użytkowników.

Wtyczka Tutor LMS dla WordPressa przed wersją 3.9.13 nie weryfikuje, czy żądający użytkownik ma uprawnienia do edycji docelowego wpisu przed jego nadpisaniem w jednym z handlerów zapisu kreatora treści. Autoryzacja opiera się wyłącznie na niepowiązanym identyfikatorze, co pozwala uwierzytelnionym użytkownikom z poziomem instruktora na nadpisywanie i przejmowanie dowolnych wpisów lub stron, w tym należących do administratorów.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie przeprowadza autoryzacji ani walidacji docelowego wpisu przed utworzeniem komentarza w jednym z handlerów. Komentarz jest przechowywany jako wstępnie zatwierdzony, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na publikowanie automatycznie zatwierdzonych komentarzy zawierających dowolny kod HTML i linki na dowolnej treści w całej witrynie, omijając kolejkę moderacji komentarzy.

Wtyczka Tutor LMS dla WordPress przed wersją 3.9.13 nie weryfikuje własności podejmowanej próby quizu przed zapisem do niej, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na modyfikowanie i wymuszanie ukończenia prób quizów innych uczniów, nadpisując ich zapisane oceny i wynik zaliczenia/niezaliczenia.

Wtyczka Database for Contact Form 7, WPforms, Elementor forms dla WordPressa przed wersją 1.5.2 nie ogranicza dozwolonych klas PHP podczas deserializacji wartości pola formularza dostarczonej przez atakującego. Umożliwia to niezautoryzowanym użytkownikom wstrzyknięcie dowolnych obiektów PHP, które są tworzone, gdy administrator przegląda zapisane zgłoszenie. Jest to niekompletne załatanie podatności CVE-2025-7384 i CVE-2026-2599, gdzie zabezpieczono ścieżki deserializacji, ale pominięto ścieżkę pola pliku w edytorze zgłoszeń.

Wtyczka Breeze Cache dla WordPressa przed wersją 2.5.6 zawiera podatność na nieuwierzytelniony, trwały atak XSS. Wynika to z przewidywalnego hasha zastępczego używanego podczas minifikacji HTML oraz nadużycia wyrażenia regularnego, co pozwala atakującemu wstrzyknąć dowolne atrybuty HTML do końcowego wyjścia.

W komponencie retrieval_lm projektu AkariAsai self-rag (do wersji 1fcdc420e48f50a7d7ab1ece5494221b93252e99) wykryto podatność na deserializację w funkcji Indexer.deserialize_from pliku retrieval_lm/src/index.py. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem index_meta.faiss, a exploit został publicznie ujawniony.

W DedeCMS 5.7.118 odkryto lukę bezpieczeństwa w pliku /plus/search.php w komponencie zarządzania kolumnami. Manipulacja argumentem nazwy kolumny umożliwia zdalne wstrzyknięcie kodu. Exploit został opublikowany i może być wykorzystany w atakach.

W bibliotece HashNeRF-pytorch do wersji 82885e698295982504eb6a26d060a6b2473e3706 wykryto podatność polegającą na deserializacji danych w funkcji torch.load pliku run_nerf.py. Atakujący lokalnie może manipulować argumentem ckpt_path, co prowadzi do niebezpiecznej deserializacji.

W WuzhiCMS do wersji 4.1.0 stwierdzono podatność w komponencie Attachment API. Funkcja config/listimage w pliku /index.php?m=attachment&f=index&v=upload umożliwia manipulację prowadzącą do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

Podatność Arbitrary File Upload w Enterprise Cloud Database od Ragic umożliwia nieuwierzytelnionym atakującym zdalne przesyłanie złośliwych plików, które stają się dostępne do pobrania dla użytkowników.

W Enterprise Cloud Database od Ragic wykryto podatność na trwały atak XSS (Stored Cross-Site Scripting). Niezautoryzowany zdalny atakujący może wstrzyknąć trwały kod JavaScript, który wykonuje się w przeglądarkach użytkowników podczas ładowania strony.

W bibliotece pyod do wersji 3.6.1 wykryto podatność polegającą na deserializacji danych w funkcji pyod.utils.persistence.load. Atakujący może zdalnie manipulować argumentem path, co prowadzi do wykonania niebezpiecznej deserializacji.

W bibliotece better-icons do wersji 1.0.5 znaleziono podatność w komponencie scan_project_icons/sync_icon. Manipulacja argumentem icons_file prowadzi do przejścia ścieżki (path traversal). Atak wymaga dostępu lokalnego, a exploit został ujawniony publicznie.

W bibliotece kLOsk adloop do wersji 0.9.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji _validate_urls pliku src/adloop/ads/write.py, gdzie manipulacja argumentem final_url umożliwia atakującemu zdalne wysyłanie żądań do wewnętrznych zasobów. Exploit jest publicznie dostępny.

W systemie CodeAstro Simple Online Leave Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /SimpleOnlineLeave/admin/dashboard.php poprzez manipulację argumentem Name. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W komponencie run_project biblioteki godot-mcp w wersji 2.0.0 odkryto podatność na path traversal. Funkcja validatePath nieprawidłowo waliduje argument projectPath, co umożliwia lokalnemu atakującemu dostęp do plików poza dozwolonym katalogiem. Publicznie dostępny exploit zwiększa ryzyko wykorzystania.

W projekcie makafeli n8n-workflow-builder do wersji 0.11.0 wykryto podatność w funkcji update_node_from_file pliku build/server.cjs. Manipulacja argumentem filePath umożliwia atak typu path traversal, wymagający lokalnego dostępu. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie problemu.

W bibliotece GNU LibreDWG w wersji 0.13.4-154-g0b573035 wykryto podatność w funkcji decompress_R2004_section pliku src/decode.c. Manipulacja danymi może prowadzić do przepełnienia bufora sterty (heap-based buffer overflow).

W bibliotece usestrix strix do wersji 1.0.2 wykryto podatność polegającą na włączeniu funkcjonalności z niezaufanego źródła przez plik system_prompt.jinja w komponencie PyPI Handler. Atak może być przeprowadzony zdalnie, ale jest trudny do wykonania. Exploit został opublikowany.