Katalog podatności CVE

Wtyczka Presto Player (presto-player) do wersji 4.5.2 zawiera podatność na przechowywany atak XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Wtyczka Starter Templates (astra-sites) do wersji 4.7.7 zawiera podatność na przechowywany atak XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.

Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 resetują token uwierzytelniania usługi do publicznie udokumentowanej wartości domyślnej. Nieuwierzytelniony atakujący z dostępem do sieci może uzyskać najwyższy poziom uprawnień aplikacji, co może prowadzić do wykonania dowolnego kodu i naruszenia bezpieczeństwa połączonego serwera P4.

Obrazy kontenerów Perforce P4 Search przed wersją 2026.4.2 włączają nieuwierzytelniony interfejs debugowania Java. Atakujący z dostępem sieciowym do tego interfejsu może wykonać dowolny kod jako konto usługi P4 Search, co może prowadzić do naruszenia bezpieczeństwa połączonego serwera P4.

Papermerge 3.5.3 pozwala standardowemu użytkownikowi na zdalne wykonanie kodu poprzez directory traversal w wywołaniu /api/documents/upload. Możliwe jest zapisanie pliku .pth Pythona do katalogu site-packages, a jego kod zostanie wykonany przy następnym uruchomieniu interpretera Pythona.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcji decode_ms_ima w pliku src/coding/ima_decoder.c (komponent Microsoft IMA Decoder). Manipulacja prowadzi do dzielenia przez zero, a atak może być wykonany zdalnie.

W bibliotece vgmstream do wersji r2117 wykryto słabość w funkcji make_group_random w pliku src/meta/txtp_process.c (komponent TXTP File Handler). Manipulacja powoduje użycie po zwolnieniu (use-after-free), a atak wymaga dostępu lokalnego. Zalecana jest poprawka o identyfikatorze ae37662ad626254ddd96ad69ac263792d7a92024.

W bibliotece vgmstream do wersji r2117 wykryto podatność w funkcjach parse_params/txtp_parse w pliku src/meta/txtp_parser.c (komponent TXTP File Handler). Manipulacja prowadzi do zapisu poza zakresem (out-of-bounds write), a atak może być wykonany zdalnie. Zalecana jest poprawka o identyfikatorze 4669d37a6af94866f6f0628678f9f90d46954e8b.

W SourceCodester Online Reviewer Management System 1.0 wykryto podatność w nieznanej funkcji pliku /reviewer_0/admins/assessments/Subject/btn_functions.php?action=course. Manipulacja argumentem Subject prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Narzędzie pwhois w Net::Whois::Raw przed wersją 2.99044 dla Perla zapytuje WHOIS o niewłaściwą domenę dla nazw unicode. Kodowanie punycode pomija kroki mapowania i normalizacji IDNA, co prowadzi do błędnych etykiet A dla niektórych znaków.

W SourceCodester Online Reviewer Management System 1.0 znaleziono podatność w nieznanej funkcji pliku /reviewer_0/admins/assessments/Subject/btn_functions.php?action=update. Manipulacja argumentem Subject skutkuje wstrzyknięciem SQL. Atak można zainicjować zdalnie, a exploit został upubliczniony.

W sgl-project sglang do wersji 0.5.21 wykryto lukę w funkcji server_info pliku python/sglang/srt/entrypoints/http_server.py w komponencie HTTP Endpoint. Manipulacja argumentem api_key prowadzi do przesyłania wrażliwych informacji w postaci jawnej (cleartext). Atak można przeprowadzić zdalnie, jest on jednak bardzo złożony i trudny do wykorzystania. Exploit został upubliczniony, a pull request z poprawką oczekuje na akceptację.

W ChatGPTNextWeb NextChat do wersji 2.16.1 występuje podatność w funkcji proxyHandler pliku app/api/proxy.ts komponentu Proxy Fallback Handler. Manipulacja argumentem x-base-url powoduje server-side request forgery. Atak można zainicjować zdalnie, a exploit został opublikowany.

W systemie GROWI istnieje podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu na odczyt plików znajdujących się w niepublicznych stronach, gdy ustawienie przesyłania plików jest skonfigurowane jako "Local".

YAML przed wersją 1.27_001 dla Perla pozwala załadowanemu dokumentowi perl/glob na zastąpienie dowolnej zmiennej pakietu, co może prowadzić do wykonania dowolnego kodu. Dokument może ustawić opcje ładowania kodu, które są domyślnie wyłączone.

YAML przed wersją 1.30 dla Perla pozwala załadowanemu dokumentowi na wywołanie metody DESTROY dowolnych klas. Tag perl/hash:Class tworzy obiekt hash w klasie, a Perl wywołuje DESTROY, gdy obiekt wychodzi z zakresu.

Wtyczka UPI QR Code Payment Gateway dla WordPressa do wersji 1.4.3 nie weryfikuje, czy żądanie potwierdzenia płatności faktycznie dotyczy zamówienia i klienta, które potwierdza. Pozwala to nieuwierzytelnionym atakującym oznaczyć dowolne zamówienie jako opłacone bez dokonania płatności.

Wtyczka File Uploads Addon for WooCommerce dla WordPressa przed wersją 1.7.6 nie weryfikuje, czy osoba żądająca pliku przesłanego przez klienta jest tym klientem. Pozwala to nieuwierzytelnionym atakującym, którzy znają lub zgadną nazwę pliku, na pobieranie plików innych klientów.

Wtyczka File Uploads Addon for WooCommerce dla WordPressa do wersji 1.7.6 przechowuje pliki przesłane przez klientów w publicznie dostępnym katalogu uploads, a wygenerowane ograniczenie dostępu jest nieskuteczne. Nieuwierzytelniony atakujący, który zna lub zgadnie nazwę pliku, może pobrać pliki klientów bezpośrednio, omijając mechanizm uwierzytelnionego pobierania.

W przepływie Dynamic Client Registration serwera Keycloak wykryto lukę polegającą na braku filtrowania wrażliwych atrybutów klienta podczas rejestracji nowego klienta. Atakujący posiadający ważny Initial Access Token może zarejestrować klienta omijającego sprawdzanie odbiorcy (audience) podczas introspekcji tokenów, co pozwala mu odczytywać dane tożsamości, role i szczegóły sesji z tokenów innych aplikacji w tym samym realmie.