Katalog podatności CVE

W komponencie HPE NonStop DNS 9.2.3 Non Secure Version wykryto lukę bezpieczeństwa, która może powodować odmowę usługi (Denial of Service). Szczegóły techniczne nie zostały podane w opisie.

Podatność bezpieczeństwa w HPE NonStop TSQLFIL może powodować uszkodzenie przestrzeni adresowej, gdy wywołane zostanie określone API.

Wtyczka WordPress Responsive Blocks przed wersją 2.3.0 nie sanityzuje ani nie escapuje niektórych wartości przesyłanych w bloku Form przed dodaniem ich do wiadomości e-mail z powiadomieniem HTML wysyłanej do właściciela witryny. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnego kodu HTML, takiego jak linki phishingowe, do tej wiadomości e-mail.

Wtyczka Tickera dla WordPressa przed wersją 3.6.0.4 nie weryfikuje poprawnie integralności przychodzących powiadomień o płatnościach, a podpis nie obejmuje zamówienia ani kwoty. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia płatności i oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

W BusyBox dpkg wykryto błąd. Funkcja write_status_file() nie resetuje kursora pola między sekcjami pakietów. Gdy dwa pakiety są usuwane w jednym wywołaniu, a pierwsza sekcja jest większa od drugiej, druga sekcja pakietu może zostać pominięta w pliku statusu, powodując ograniczone uszkodzenie danych.

Wtyczka WPForms Lite dla WordPressa przed wersją 2.0.2.2 nie weryfikuje po stronie serwera, czy płatność została zakończona przed przyjęciem zgłoszenia w formularzach korzystających z bramki PayPal Commerce. Umożliwia to nieuwierzytelnionym odwiedzającym wysyłanie płatnych formularzy bez płacenia, a potwierdzenie i e-maile powiadamiające są wysyłane mimo braku zamówienia u dostawcy płatności.

Podatność w HPE NonStop TSQLEXE może spowodować awarię aplikacji w wyniku spreparowanego zapytania SQL.

Podatność w HPE NonStop TMF Auditread2 może powodować odmowę usługi (Denial of Service).

Podatność w TSplus Remote Access wynika z nieprawidłowych uprawnień do współdzielonych skryptów logowania. Pliki autostart1.tscr w katalogu motywów umożliwiają użytkownikom bez wystarczających uprawnień zapis do nich. Lokalny atakujący z ważną sesją na serwerze terminalowym lub zdalnym może zmodyfikować te pliki, aby wykonać dowolne polecenia w kontekście bezpieczeństwa innego użytkownika podczas jego logowania, co może prowadzić do eskalacji uprawnień lub ruchu bocznego.

Podatność nieprawidłowego uwierzytelniania w mechanizmie wieloskładnikowego uwierzytelniania (MFA) w TSplus Remote Access. Zdalny atakujący uwierzytelniony prawidłowymi danymi pierwszego czynnika może ominąć weryfikację drugiego czynnika, ponieważ przepływ uwierzytelniania niepoprawnie stosuje wynik walidacji MFA, co pozwala atakującemu na ukończenie logowania bez ważnego tokena drugiego czynnika i uzyskanie dostępu do chronionych aplikacji i zasobów.

Podatność w serwerze WWW TSplus Remote Access dotyczy niewłaściwej kontroli dostępu. Nieuwierzytelniony zdalny atakujący może uzyskać dostęp do wewnętrznych zasobów, manipulując ścieżkami przez endpoint /socket.io/JWN/, omijając ograniczenia dostępu.

Ten identyfikator CVE został odrzucony, ponieważ jest duplikatem CVE-2026-39749 i nigdy nie został opublikowany. Oba identyfikatory dotyczą tej samej podatności Broken Access Control we wtyczce App for Cloudflare WordPress.

Podatność braku autoryzacji w JetFormBuilder od Crocoblock pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 3.6.6 włącznie.

Podatność SQL Injection w Modern Events Calendar Lite od Webnus umożliwia ślepą iniekcję SQL. Dotyczy wersji przed 7.37.0.

Podatność w insights-runtime-extractor pozwala nieuprzywilejowanemu tenantowi na przejęcie kontroli nad węzłem. Proces skanujący nie obniża wystarczająco uprawnień (tylko seteuid, bez zmiany ruid/suid i bez usunięcia capabilities), a następnie wykonuje binarkę kontrolowaną przez workload z uprawnieniami roota w przestrzeni nazw hosta. Atakujący może wykorzystać to do uzyskania pełnego dostępu do węzła przez socket CRI-O.

Podatność w JTL-Shop dotyczy middleware uwierzytelniania w panelu administracyjnym, który przetwarza przełącznik trybu bezpiecznego pluginów na ścieżce wylogowania przed sprawdzeniem uwierzytelnienia. Nieuwierzytelniony atakujący może przełączać tryb bezpieczny pluginów, dezaktywując wszystkie wtyczki i powodując denial of service w całym sklepie.

Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.

Podatność polegająca na wstrzyknięciu kodu w Email Template Customizer for WooCommerce od VillaTheme. Dotyczy wersji do 1.3.4 włącznie.

Wtyczka Visma Pay dla WooCommerce przed wersją 1.2.2 nie weryfikuje autentyczności żądań zwrotnych z bramki płatności, polegając na sekretnym kluczu, który jest pusty w sklepie, który nie wprowadził swoich danych uwierzytelniających. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych oraz ujawnienie imienia, adresu e-mail i adresu pocztowego klienta dowolnego zamówienia.

Podatność w NSD dotyczy tokenów tekstu w RDATA (np. rekordów TXT) o długości poniżej 32 bajtów, które nie są sprawdzane pod kątem pozostania w zarezerwowanym obszarze, co pozwala na zapisy poza stosem o dowolnym rozmiarze, w tym nadpisanie wskaźnika funkcji wywołania zwrotnego.