Katalog podatności CVE

Wersje n8n przed 1.123.80, od 2.0.0 przed 2.39.6 oraz od 2.40.0 przed 2.40.1 nie weryfikują poprawnie podpisu HMAC x-webflow-signature w webhooku węzła Webflow Trigger. Nieuwierzytelnieni atakujący mogą wysyłać sfałszowane żądania webhook z kontrolowanymi danymi, aby wyzwalać workflow i manipulować akcjami downstream, takimi jak tworzenie rekordów czy wywołania API.

ground-station przed wersją 0.8.0 zawiera podatność obejścia uwierzytelniania w poleceniu setup.restore, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego SQL podczas trybu pierwszej konfiguracji. Atakujący mogą wywołać setup.restore przez Socket.IO, aby umieścić konta administratorów i sfałszowane tokeny sesji, a następnie uwierzytelnić się jako administrator bez poświadczeń, co prowadzi do całkowitego przejęcia aplikacji.

Podatność Server-Side Request Forgery (SSRF) w LA-Studio Element Kit dla Elementor (lastudio-element-kit) umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów. Problem dotyczy wersji od n/a do 1.6.2.

W narzędziu oc-mirror podczas operacji mirrorowania wbudowany lokalny rejestr pamięci podręcznej wiąże się ze wszystkimi interfejsami sieciowymi bez uwierzytelniania i szyfrowania, zamiast ograniczać dostęp do lokalnego systemu. Nieuwierzytelniony atakujący z sąsiedniej sieci może połączyć się z odsłoniętą usługą, aby wypchnąć zmodyfikowane obrazy kontenerów, usunąć obrazy z pamięci podręcznej lub uzyskać dostęp do mirrorowanej zawartości.

Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Forminator Forms dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'postdata-1[post-custom]' we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanitizacji wejścia i braku kodowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych, które wykonają się przy dostępie do zainfekowanej strony. Wymagany nonce formularza jest swobodnie dostępny dla nieuwierzytelnionych użytkowników przez publiczny endpoint wp_ajax_nopriv_forminator_get_nonce, co czyni cały łańcuch ataku wykonalnym bez uwierzytelnienia.

W oauth-proxy stwierdzono błąd polegający na nieprawidłowej walidacji parametru przekierowania docelowego (`rd`) podczas przekierowania po zalogowaniu. Zdalny atakujący może wykorzystać tę podatność, nakłaniając użytkownika do kliknięcia specjalnie spreparowanego linku, co skutkuje przekierowaniem użytkownika na dowolną zewnętrzną stronę po uwierzytelnieniu. To otwarte przekierowanie może być wykorzystane do ataków phishingowych lub kradzieży poświadczeń.

CVE-2026-7176: parametry Help text i Title w punkcie końcowym /events/<event_name>-<event_city>/custom_form/edit podczas procesu tworzenia lub modyfikowania formularzy związanych ze sprzedażą biletów na wydarzenie, co pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie zakupu biletów dla wydarzenia.

CVE-2026-7175: parametr Business Name w punkcie końcowym /promoters/edit w sekcji My Profile profilu promotora, co pozwala na wstrzyknięcie kodu JavaScript, który wykona się na publicznej stronie promotora.

CVE-2026-7174: Podatność Stored Cross-Site Scripting w Entradium, autorstwa Crocantickets. Dotyczy parametrów Name i Field w punkcie końcowym /tools/discount_wizard/discount_config podczas procesu tworzenia zniżek przypisanych do wydarzenia. Podatność pozwala na wstrzyknięcie kodu JavaScript do dotkniętych parametrów, który wykonuje się podczas wyświetlania listy zniżek wydarzenia. Skuteczne wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji.

CVE-2026-7173: Podatność Cross-Site Scripting w Entradium, autorstwa Crocantickets. Wykorzystanie tej podatności może pozwolić zdalnemu atakującemu na wysłanie specjalnie spreparowanego URL-a do ofiary i kradzież danych sesji. (Stored XSS) Parametr City w punkcie końcowym /events/<event_name>/edit_general podczas procesu tworzenia lub edycji wydarzeń przypisanych do promotora pozwala na wstrzyknięcie JavaScript, który wykona się na publicznej stronie wydarzenia. (Reflected XSS) Parametr Description w punkcie końcowym /events/<event_name>/edit-general podczas próby utworzenia lub modyfikacji wydarzenia bez wypełnienia wszystkich wymaganych pól.

Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.

Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.

Niekompletna czarna lista rozszerzeń w module Menedżer plików umożliwia uwierzytelnionemu użytkownikowi przesyłanie i wykonywanie dowolnych plików .phar. Dotyczy Pandora FMS od wersji 777.

Brak autoryzacji w pobieraniu danych modułu umożliwia nieautoryzowany dostęp do historii modułów między grupami. Dotyczy Pandora FMS od wersji 777.

Połączona podatność na obejście CSRF i nieograniczone przesyłanie plików w Menedżerze plików wtyczek umożliwia atakującemu przesyłanie i wykonywanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu. Problem dotyczy Pandora FMS od wersji 777.

W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.

Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.