Katalog podatności CVE

Wtyczka Iptanus File Upload dla WordPress przed wersją 5.1.7 nie implementuje prawidłowego przetwarzania plików przy ustawieniu duplicatepolicy na 'maintain both'. Występuje błąd TOCTOU między sprawdzeniem istnienia pliku a faktycznym zapisem, co pozwala uwierzytelnionemu atakującemu nadpisać pliki innych użytkowników.

W OpenStack Ironic przed wersją 37.0.1, podczas stosowania operacji PATCH do aktualizacji pól we właściwościach woluminu, do których użytkownik jest autoryzowany, Ironic może zwrócić niezaciemnione poufne informacje (takie jak dane uwierzytelniające iSCSI).

Podatność w SourceCodester CET Automated Grading System with AI Predictive Analytics 1.0. Nieznana funkcja w pliku /index.php pozwala na atak XSS poprzez manipulację argumentem action. Atak może być przeprowadzony zdalnie.

W CodeAstro Student Attendance Management System 1.0 w pliku /attendance-php/Admin/createStudents.php stwierdzono podatność na iniekcję SQL przez argument admissionNumber. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Wtyczka Meow Gallery dla WordPress do wersji 5.4.4 włącznie jest podatna na nieautoryzowaną modyfikację danych przez REST API /wp-json/meow-gallery/v1/save_shortcode z powodu braku sprawdzenia uprawnień. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą tworzyć lub nadpisywać rekordy galerii, podając kontrolowaną wartość id.

Podatność Stored Cross-Site Scripting (XSS) w Canvas plugin dla WordPress do wersji 2.5.2. Problem wynika z niedostatecznego oczyszczania danych wejściowych i wyjściowych w parametrze 'tag'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty.

Wtyczka Page Builder: Pagelayer dla WordPress do wersji 2.0.9 zawiera podatność na Stored XSS przez blok Anchor. Niewystarczająca sanitizacja wejścia i ucieczka wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

Podatność Incorrect Authorization w Page Builder: Pagelayer dla WordPress do wersji 2.0.9. Problem dotyczy handlera AJAX pagelayer_save_content, który pozwala użytkownikom z uprawnieniami do edycji postów na zapisywanie metadanych pagelayer_contact_templates, a endpoint pagelayer_contact_submit (dostępny bez uwierzytelnienia) wykorzystuje te dane bez odpowiedniego sprawdzenia kontekstu. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą konfigurować szablony formularzy kontaktowych dostępne dla niezalogowanych użytkowników.

Podatność Stored Cross-Site Scripting (XSS) w FooGallery plugin dla WordPress do wersji 3.1.31. Problem wynika z niekompletnej listy blokowanych atrybutów zdarzeń JavaScript w funkcji foogallery_sanitize_javascript() oraz braku odpowiedniego escapowania klucza atrybutu w funkcji foogallery_build_container_attributes_safe(). Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty.

W narzędziu libreport, używanym w ABRT (Automatic Bug Reporting Tool), wykryto podatność na wstrzykiwanie treści. Skrypt obsługi zdarzeń po utworzeniu raportu odczytuje dziennik systemd i zapisuje wyniki do plików w katalogu zrzutu bez sanityzacji znaków kontrolnych. Lokalny użytkownik może wstrzyknąć dowolną treść, osadzając znaki nowej linii w komunikatach syslog.

Wtyczka LWS Optimize dla WordPress do wersji 3.3.19 włącznie jest podatna na dowolny odczyt plików. Funkcja combine_current_css() ufa wartościom href z tagów <link> w HTML strony i konwertuje URL-e tej samej domeny na bezwzględne ścieżki systemowe, a następnie odczytuje je bez sprawdzania, czy ścieżka pozostaje w obrębie ABSPATH lub ma rozszerzenie .css. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Edytora i wyższym odczyt dowolnych plików.

Allegra zawiera podatność na Cross-Site Scripting (XSS) w metodzie downloadAttachment, umożliwiającą ominięcie uwierzytelniania. Podatność wynika z braku walidacji danych wejściowych, co pozwala na wstrzyknięcie dowolnego skryptu. Do wykorzystania wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie pliku).

Podatność w Allegra polegająca na przechodzeniu do katalogów (directory traversal) w metodzie exportReport. Umożliwia zdalne ujawnienie poufnych informacji. Wymagane uwierzytelnienie.

W MISP występuje luka autoryzacyjna w obsłudze dodawania/edycji obiektów, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do edycji obiektów przypisać obiekt lub atrybuty do grupy udostępniania, do której nie ma uprawnień. Walidacja grupy udostępniania była wykonywana na niewłaściwej strukturze danych, co omijało sprawdzenie.

Podatność w Capgo przed wersją 12.128.2. Po zmianie lub usunięciu zdjęcia profilowego przez użytkownika, stare pliki nie są usuwane z backend storage. Atakujący mogą uzyskać dostęp do osieroconych plików przez wcześniej wygenerowane URL-e.

OpenClaw przed wersją 2026.5.7 zawiera podatność w walidacji nazw hostów w punktach końcowych ponawiania prób, która pozwala na dopasowanie prefiksów nazw hostów zamiast dokładnych nazw. Atakujący mogą to wykorzystać, tworząc prefiks nazwy hosta przypominający zaufany host, aby wysłać dane uwierzytelniające do niezaufanych punktów końcowych.

Podatność w OpenClaw przed wersją 2026.5.6 umożliwia ominięcie wymuszenia konfiguracji w powiązaniach dynamic-agent w Feishu. Uwierzytelnieni nadawcy mogą tworzyć lub aktualizować powiązania bez przestrzegania skonfigurowanych kontroli config-write, co pozwala na nieautoryzowane modyfikacje stanu powiązań.

OpenClaw przed wersją 2026.4.22 zawiera lukę umożliwiającą obejście unieważnienia sekretów webhook. Stare sekrety Slack i Zalo pozostają aktywne po wykonaniu secrets.reload, co pozwala atakującym na wysyłanie zdarzeń webhook z użyciem wcześniejszych poświadczeń.

OpenClaw przed wersją 2026.5.2 zawiera podatność na ujawnienie poświadczeń w przekazywaniu akcji wiadomości. Pozwala to na przechwycenie tokenów bramy i ładunków akcji przez zdalnego atakującego.

OpenClaw przed wersją 2026.4.26 zawiera podatność na ujawnienie informacji w tworzeniu sesji w piaskownicy, która ujawnia rzeczywistą ścieżkę obszaru roboczego podrzędnym promptom. Atakujący mogą to wykorzystać, tworząc sesje podrzędne z sesji nadrzędnych w piaskownicy, aby ujawnić lokalizację obszaru roboczego hosta lub powiązany kontekst pamięci modelom podrzędnym.