Katalog podatności CVE

Wtyczka Ninja Forms dla WordPressa (wersje do 3.15.4 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez pole Paragraph Text (RTE) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy docelowe pole Paragraph Text ma włączoną opcję Rich Text Editor (RTE).

Wtyczka WordPress Unlimited Elements for Elementor w wersji przed 2.0.21 nie escapuje wartości ikony przed włączeniem jej do atrybutu HTML w swoim współdzielonym procesorze parametrów widżetu. Umożliwia to użytkownikom z dostępem współpracownika (którzy nie mają uprawnień unfiltered_html) zapisanie ładunku, który wykonuje się podczas renderowania strony.

Wtyczka Popup Maker do WordPressa w wersji do 1.4.5 nie sprawdza uprawnień w jednej z akcji związanych z połączeniem konta, weryfikując jedynie nonce. Umożliwia to uwierzytelnionym użytkownikom z minimalnymi uprawnieniami, takim jak subskrybenci, nadpisanie opcji całej witryny (powiązanego konta usługi i konfiguracji API), która powinna być modyfikowalna tylko przez administratorów.

Motyw Avada dla WordPressa (Website Builder For WordPress & WooCommerce) jest podatny na odzwierciedlony Cross-Site Scripting (XSS) przez parametr 'lang' we wszystkich wersjach do 7.16.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie weryfikuje, czy callbacki płatności rzeczywiście pochodzą od dostawcy płatności, gdy klucz tajny nie został skonfigurowany (stan tuż po aktywacji). Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień, w tym oznaczenie nieopłaconych jako opłacone i zmniejszenie stanu magazynowego.

Wtyczka Autoptimize dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) przez nazwę autora komentarza we wszystkich wersjach do 3.1.15.1 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga spełnienia dodatkowych warunków, takich jak włączenie opcji 'Lazy-load images?' przez administratora, obecność pliku w3-total-cache/w3-total-cache.php z wyłączoną wtyczką, załadowanie klasy Minify_HTML przez inną wtyczkę oraz zatwierdzenie złośliwego komentarza przez moderatora.

Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa (wersje do 6.3.316 włącznie) jest podatna na eskalację uprawnień. Funkcja before_email_success_msg() w dodatku Register & Login w przepływie register_login_action='update' ufa wartości user_id dostarczonej przez atakującego i przekazuje ją do wp_update_user() bez sprawdzenia właściciela lub uprawnień. Uwierzytelniony atakujący z uprawnieniami subskrybenta może utworzyć złośliwy formularz i przesłać go z user_id administratora oraz nowym hasłem/e-mailem, przejmując konto.

Podatność Directory Traversal we wtyczce Super Forms – Drag & Drop Form Builder dla WordPressa we wszystkich wersjach do 6.3.316 włącznie, przez funkcję parse_request. Umożliwia nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Opcjonalne ustawienie 'file_upload_auth' domyślnie jest puste, co oznacza brak wymaganego uwierzytelnienia w domyślnej konfiguracji.

Wtyczka Tabs Responsive dla WordPressa do wersji 2.5 nie sanityzuje treści zakładek produktów WooCommerce przed ich zapisaniem i wyświetleniem, co pozwala menedżerowi sklepu na przechowywanie JavaScript, który wykonuje się, gdy jakikolwiek użytkownik, w tym administrator, przegląda stronę produktu.

Wtyczka Divi Membership dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania. Funkcja process_paypal_callback akceptuje zakodowany base64 parametr paypal_param bez walidacji IPN, podpisu kryptograficznego, weryfikacji własności ani nonce, co pozwala na zalogowanie się jako dowolny użytkownik, w tym administrator.

Wtyczka CTX Feed Pro dla WordPressa do wersji 7.6.12 włącznie jest podatna na wstrzykiwanie kodu z powodu niewystarczającej walidacji pola 'Feed Config', które jest przekazywane bezpośrednio do funkcji eval(). Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym wykonanie dowolnego kodu PHP na serwerze.

Wtyczka Visitors Traffic Real Time Statistics Pro dla WordPressa do wersji 11.22 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS) przez parametr page_title w akcji AJAX ahcpro_track_visitor. Akcja jest dostępna dla niezalogowanych użytkowników i zapisuje wartość bez sanityzacji, a następnie jest renderowana w panelu administratora bez escape'owania, co pozwala na wykonanie dowolnego JavaScriptu.

Wtyczka DevKit Pro dla WordPressa do wersji 2.3.0 włącznie ma podatność na pominięcie uwierzytelniania prowadzącą do przejęcia konta administratora. Obsługa revert_switch ufa kontrolowanemu przez atakującego ciasteczku original_user_id, a weryfikacja nonce i uprawnień jest przeprowadzana na podstawie tego ciasteczka, a nie rzeczywistego żądającego.

W systemie SourceCodester Online Reviewer Management System 1.0 wykryto podatność na wstrzyknięcie SQL w pliku /reviewer_0/admins/assessments/activities/btn_functions.php?action=activity. Manipulacja argumentem Title prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W pakiecie modelcontextprotocol mcp-server-fetch i mcp-server-everything do wersji 2026.6.4 wykryto podatność na Server-Side Request Forgery (SSRF) w funkcji fetch_url w pliku mcp_server_fetch/server.py. Manipulacja argumentem url/path umożliwia zdalny atak. Exploit został publicznie ujawniony, a poprawka oczekuje na akceptację.

Niewłaściwa kontrola dostępu w ManagedProvisioning przed SMR Sep-2026 Release 1 pozwala lokalnym atakującym na instalowanie dowolnych aplikacji.

Discord libdave przed wersją 1.2.0 nie odrzucał wiadomości MLS Welcome, gdy lista uczestników zawierała nieznanego uczestnika. Atakujący kontrolujący ścieżkę sygnalizacji DAVE (bramka głosowa lub równoważna pozycja) mógł spowodować, że klienci zaakceptują nieautoryzowanego członka do szyfrowanej sesji medialnej.

Wykryto lukę bezpieczeństwa w calcom cal.diy do wersji 6.2.0. Dotyczy ona funkcji doesUserIdHaveAccessToBooking w pliku BookingAccessService.ts komponentu PBAC Permission Engine. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Pull request z poprawką oczekuje na akceptację.

Zidentyfikowano podatność w itsourcecode Pet Shop Management System 1.0. Dotyczy ona nieznanej funkcji w pliku admin_reservefilter.php. Manipulacja argumentem filter prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany.

W itsourcecode Pet Shop Management System 1.0 stwierdzono podatność. Dotyczy ona nieznanej funkcji w pliku admin_reject_completed.php. Manipulacja argumentem ID powoduje wstrzyknięcie SQL. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.