Katalog podatności CVE

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.

W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.

W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.

W JetBrains YouTrack w wersjach przed 2026.2.19422 możliwe było podniesienie uprawnień poprzez linki do grup użytkowników. Podatność pozwala użytkownikowi na uzyskanie wyższych uprawnień niż te, które powinien posiadać.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.

W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.

Wtyczka Business Essentials for Contact Form 7 dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole formularza 'gateway' we wszystkich wersjach do 1.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga włączonego modułu Payments oraz formularza skonfigurowanego do akceptowania zarówno PayPal, jak i Stripe.

Wtyczka Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola długości i szerokości geograficznej znacznika na mapie we wszystkich wersjach do 1.15.47 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress jest podatna na trwałe wstrzyknięcie skryptu DOM (stored DOM-based XSS) poprzez jednowierszowe pole formularza rezerwacji w komponencie renderującym listę kalendarza we wszystkich wersjach do 1.5.97 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga ustawienia parametru 'list_readmore_numberofwords' na dodatnią wartość całkowitą; domyślna wartość 0 omija gałąź dekodowania i obcinania, przez co nie jest podatna na wykorzystanie.

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametr 'gdpr-data' we wszystkich wersjach do 6.4.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta przeciwko innym kontom, ponieważ handlery AJAX akceptują dowolny identyfikator gdpr-user bez weryfikacji, czy należy do żądającego, a wymagany nonce wpas-gdpr-nonce jest emitowany przez wp_localize_script do każdego zalogowanego użytkownika na stronach wtyczki i na /wp-admin/profile.php.

Wtyczka WPC Shop as a Customer for WooCommerce dla WordPress jest podatna na podniesienie uprawnień poprzez przejęcie konta we wszystkich wersjach do 2.0.0 włącznie. Wynika to z braku prawidłowej walidacji roli docelowego użytkownika przed utworzeniem nowej sesji uwierzytelniającej, co pozwala uwierzytelnionemu atakującemu zalogować się jako dowolny administrator WordPress, podając bezpośrednio identyfikator użytkownika administratora do punktu końcowego wpcsa_login i otrzymując pełne ciasteczko sesji administratora bez podawania hasła. Umożliwia to uwierzytelnionym atakującym bezpośrednie przejęcie sesji i uzyskanie pełnego dostępu na poziomie administratora do witryny.

Wtyczka PDF Invoices & Packing Slips for WooCommerce dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pola imienia, nazwiska i firmy w danych rozliczeniowych we wszystkich wersjach do 5.16.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Ładunek przetrwa początkowe przechowywanie, ponieważ funkcje WooCommerce sanitize_text_field() i wc_clean() nie usuwają ciągów zakodowanych encjami, które nie zawierają znaku '<', co pozwala nieuwierzytelnionym zamówieniom gościnnym umieścić złośliwą treść.

Wtyczka Redux Framework dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) przez User Meta Merge w polu 'user-mediaurl' Media Field we wszystkich wersjach do 4.5.14 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta, którzy mogą przechowywać payload w polach meta użytkownika, takich jak biografia, session_tokens (poprzez spreparowany User-Agent przy logowaniu) lub persisted_preferences (poprzez REST API), które są następnie promowane do ogólnoserwisowej opcji redux_demo, gdy naprawa URL mediów jest wyzwalana na panelu demo.

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.

Wtyczka Duplicate Post dla WordPressa do wersji 1.5.6 włącznie jest podatna na trwały XSS przez parametr 'noti_token'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wymaga to włączenia przez administratora uprawnień dla roli Subscriber w ustawieniach wtyczki.

Wtyczka Forminator Forms – Contact Form, Payment Form & Custom Form Builder dla WordPress jest podatna na trwałe wstrzyknięcie skryptu (stored XSS) poprzez pole tekstowe rich-text we wszystkich wersjach do 1.57.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Skuteczne wykorzystanie wymaga, aby administrator otworzył zapisany wpis zgłoszenia w widoku Forminator Entries i wszedł w interakcję z umieszczonym linkiem, wówczas jQuery'owy handler kliknięcia WordPress na '.contextual-help-tabs a' zinterpretuje zdekodowany href jako HTML, uruchamiając ładunek atakującego w uwierzytelnionej sesji wp-admin administratora.

Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.316 włącznie jest podatna na dowolne usuwanie plików i katalogów. Podatność wynika z braku kontroli uprawnień w handlerze AJAX `super_save_form`, który pozwala użytkownikom z poziomem Subscriber na tworzenie i modyfikację formularzy oraz włączenie ustawienia `file_upload_submission_delete`, a także z nieodpowiedniego przekazywania wartości `files[].subdir` do funkcji `SUPER_Common::delete_dir()` bez sanityzacji. Ochrona `ABSPATH` może być łatwo ominięta przez podanie wartości `wp-config.php`, co pozwala na rekurencyjne usuwanie plików i katalogów na serwerze, aż do całkowitego usunięcia instalacji WordPressa.