Katalog podatności CVE

Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.

Wheels w wersjach od 4.0.6 do 4.1.2 pozwala nieuwierzytelnionemu klientowi przełączyć żądanie w kontekst aplikacji testowej, nawet w środowisku produkcyjnym, poprzez nagłówek X-Wheels-Test-Context, cookie WHEELS_TEST_CONTEXT lub ścieżkę test-runnera w URL. Aplikacja alternatywna używa tej samej konfiguracji, środowiska, źródła danych i ustawień debugowania; nie jest to obejście uwierzytelniania ani eskalacja uprawnień, ale może obejść tryb konserwacji, zapewnić dodatkowe liczniki limitów i wywołać dodatkowe efekty uboczne. Poprawka została wydana w wersji 4.2.0.

Backdrop CMS Core w wersjach 1.35.x przed 1.35.2 i 1.34.x przed 1.34.6 nie waliduje wystarczająco przesyłanych obrazów SVG, aby upewnić się, że nie zawierają niebezpiecznych tagów SVG. Poprzez przesłanie spreparowanego pliku SVG możliwe jest wykonanie skryptu w przeglądarce, gdy obraz jest wyświetlany bezpośrednio pod jego adresem URL. Podatność jest ograniczona, ponieważ Backdrop osadza przesłane obrazy SVG w tagach <img>, co zapobiega wykonaniu skryptu.

Wtyczka Flying Scripts dla WordPressa (wersje do 1.2.4) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek wykorzystuje wyłącznie elementy dozwolone przez kses, a XSS jest wprowadzany po zapisie przez mechanizm przepisywania bufora wyjściowego wtyczki.

Wtyczka RSS Aggregator by Feedzy dla WordPressa (wersje do 5.2.11) jest podatna na przechowywane XSS poprzez parametr 'media:thumbnail@url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi kontrolować zewnętrzny kanał RSS, który docelowa witryna już zaimportowała.

Wtyczka Colibri Page Builder dla WordPressa (wersje do 1.0.390) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek przechodzi przez rozszerzoną listę dozwolonych komentarzy, a wykonanie następuje, gdy colibri.js odczytuje zapisaną wartość data-target i przekazuje ją do jQuery().

Wtyczka Debloat – Remove Unused CSS, Optimize JS dla WordPressa w wersjach do 1.3.0 włącznie jest podatna na Directory Traversal poprzez parametr 's'. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać dowolne pliki na serwerze, a przy włączonej funkcji Optimize CSS atak może wywołać nieuwierzytelniony użytkownik pojedynczym żądaniem GET.

Wtyczka Customer Email Verification for WooCommerce (wersje do 3.3.0) jest podatna na eskalację uprawnień poprzez parametr 'alg_wc_ev_verify_email'. Kod aktywacyjny jest generowany za pomocą wp_rand(100), co daje tylko ~101 możliwych wartości, a handler verify() nie sprawdza nonce i nie ogranicza liczby prób.

Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.

Frappe HRMS w wersjach 14.x przed 14.38.2, 15.x przed 15.64.0 i 16.x przed 16.18.0 zawiera podatność na wstrzyknięcie SQL w niektórych punktach końcowych z powodu braku walidacji danych wejściowych. Każdy uwierzytelniony atakujący, w tym konto o niskich uprawnieniach, może wysłać specjalnie spreparowane żądania, aby wyodrębnić poufne informacje z bazy danych.

Frappe Framework przed wersją 15.120.0 oraz 16.x przed 16.33.0 nie egzekwuje listy dozwolonych adresów IP restrict_ip dla metod uwierzytelniania innych niż sesyjne, takich jak klucz API, OAuth i uwierzytelnianie nagłówkowe. Atakujący z ważnymi poświadczeniami tych typów może zalogować się z adresu IP spoza listy.

Nezha od wersji 2.2.5 przed 2.3.15 zawiera podatność ujawnienia informacji, która pozwala uwierzytelnionym użytkownikom odczytać poświadczenia stron trzecich, ponieważ funkcja listDDNS nie usuwa pól WebhookURL i WebhookRequestBody. Administratorzy lub tokeny PAT z zakresem nezha:ddns:read mogą wywołać GET /api/v1/ddns i odczytać tokeny w postaci jawnej.

Nezha od wersji 1.7.0 przed 2.3.15 zawiera podatność ujawnienia informacji, która pozwala uwierzytelnionym członkom wyliczać identyfikatory serwerów innych dzierżawców poprzez zróżnicowane odpowiedzi. Atakujący może skanować kolejne identyfikatory w getServerConfig i setServerConfig, odróżniając odmowę dostępu od odpowiedzi sukcesu.

Nezha od wersji 2.1.0 przed 2.3.15 zawiera podatność host header injection w mintTransferTool, która buduje adresy fs.download_url i fs.upload_url na podstawie niezwalidowanego nagłówka Host. Atakujący kontrolujący nagłówek Host w żądaniu ofiary może przekierować przesyłane pliki lub przechwycić jednorazowe tokeny pobierania.

Nezha od wersji 1.0.0 przed 2.3.15 zawiera podatność wyczerpania pamięci w punkcie końcowym WebSocket menedżera plików, ponieważ fmStream nigdy nie wywołuje SetReadLimit, pozostawiając rozmiar wiadomości nieograniczony. Uwierzytelniony użytkownik z uprawnieniami menedżera plików może wysłać jedną zbyt dużą wiadomość binarną na /api/v1/ws/file/:id, wywołując zabicie procesu przez OOM.

Nezha od wersji 2.0.13 przed 2.3.15 zawiera podatność wyczerpania zasobów, która pozwala uwierzytelnionym użytkownikom otwierać nieograniczoną liczbę równoczesnych połączeń do punktu końcowego WebSocket /api/v1/ws/transfer. Atakujący może utrzymywać tysiące subskrypcji tworzonych przez ServerTransferClass.Subscribe, wyczerpując deskryptory plików, pamięć i goroutines.

FreeRDP w wersjach przed 3.32.0 zawiera po stronie klienta podatność polegającą na zapisie poza zakresem sterty w funkcjach general_LumaToYUV444 i general_ChromaV2ToYUV444. Złośliwy serwer RDP może wysłać ramki RDPGFX AVC444 lub AVC444v2 z prostokątami regionów o nieparzystej wysokości kończącymi się na wysokości powierzchni, co powoduje zapis poza płaszczyzny U/V.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v2. Lokalny atakujący może uszkodzić pamięć sterty poprzez zawinięcie liczb całkowitych w obliczeniach rozmiaru bitmapy, dostarczając specjalnie spreparowany plik trwałego bufora v2 z nadmiernymi wartościami szerokości i wysokości.

FreeRDP od wersji 3.29.0 do 3.32.0 zawiera przepełnienie liczb całkowitych w backendach audio Apple (audin_mac.m, audin_ios.m). Rozmiar bufora kolejki audio jest obliczany jako FramesPerPacket * 2 * nChannels w arytmetyce UINT32, co omija poprawkę CVE-2026-91962. Złośliwy serwer RDP może wysłać FramesPerPacket o wartości 2^30 w pakiecie audin Open PDU, powodując zawinięcie mnożenia i zbyt małe alokacje AudioQueueAllocateBuffer, prowadząc do zapisu poza zakresem sterty w klientach macOS i iOS.

FreeRDP w wersjach przed 3.32.0 zawiera podatność przepełnienia bufora sterty w funkcji persistent_cache_read_entry_v3. Lokalny atakujący może uszkodzić pamięć, dostarczając specjalnie spreparowany plik trwałego bufora v3 z dużymi wartościami szerokości i wysokości, które powodują zawinięcie obliczeń rozmiaru w persist_cache_get_data, prowadząc do przepełnienia bufora przez fread.