Katalog podatności CVE

W itsourcecode Fees Management System do wersji 1.0 występuje podatność na XSS w pliku /navbar.php poprzez manipulację argumentem page. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie zarządzania opłatami itsourcecode Fees Management System 1.0 odkryto lukę SQL Injection w pliku /manage_user.php. Atakujący może zdalnie manipulować argumentem ID, co pozwala na wstrzyknięcie kodu SQL. Exploit jest publicznie dostępny.

W systemie zarządzania opłatami itsourcecode Fees Management System 1.0 wykryto podatność SQL Injection w pliku /manage_student.php. Manipulacja argumentem ID umożliwia zdalne wstrzyknięcie SQL. Exploit jest publicznie dostępny.

W aplikacji stumasy autorstwa mjperpinosa stwierdzono podatność w nieznanej funkcji pliku application/PHP/objects/profiles/change_profile_image.php. Manipulacja argumentem pr_profile_image umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W aplikacji stumasy autorstwa mjperpinosa stwierdzono podatność w nieznanej funkcji pliku application/PHP/objects/updates/add_post.php. Manipulacja argumentem up_file_to_post prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Wtyczka WordPress Popup Builder w wersji 3.49 zawiera trwałą podatność XSS, która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwe skrypty poprzez przełamanie znaczników opcji w parametrze post_title. Skrypty wykonują się podczas wyświetlania popupów.

Wtyczka WordPress Soliloquy Lite w wersji 2.5.6 zawiera trwałą podatność XSS, która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwe skrypty poprzez wstawienie znaczników script w polu tytułu posta. Skrypty wykonują się podczas podglądu posta.

Motyw WordPress Zoner Real Estate w wersji 4.1.1 zawiera trwałą podatność XSS, która pozwala uwierzytelnionym agentom wstrzykiwać złośliwe skrypty przez pole adresu podczas tworzenia nieruchomości. Skrypty wykonują się, gdy administrator przegląda nieruchomość do zatwierdzenia.

Komponent com_jsjobs w Joomla w wersji 1.2.6 zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący mogą usuwać pliki poprzez manipulację parametrami custom userfield, wysyłając żądania POST z sekwencjami typu path traversal w parametrze field_2.

Aplikacja GigToDo w wersji 1.3 zawiera trwałą podatność XSS, która pozwala uwierzytelnionym atakującym wstrzykiwać złośliwy kod JavaScript i HTML przez pole opisu propozycji. Skrypty wykonują się, gdy administrator lub inni użytkownicy przeglądają zapisaną propozycję.

Live Chat Unlimited 2.8.3 zawiera podatność na trwałe cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych skryptów przez pole czatu. Atakujący mogą przesyłać payloady zawierające znaczniki script i event handlery, które wykonują się w panelu administracyjnym, umożliwiając kradzież ciasteczek lub przekierowanie na złośliwe strony.

Contact Form by WD w wersji 1.13.1 zawiera podatność na Cross-Site Request Forgery (CSRF) połączoną z lokalnym dołączaniem plików (LFI), która pozwala nieuwierzytelnionym atakującym na dołączanie dowolnych plików poprzez wykorzystanie niesanitizowanych parametrów akcji. Atakujący mogą tworzyć złośliwe formularze kierowane do endpointu admin-ajax.php z sekwencjami Directory Traversal w parametrze GET action, aby ładować pliki przez CSRF, omijając uwierzytelnianie na podatnych akcjach AJAX.

Zuz Music 2.1 zawiera podatność na trwałe cross-site scripting (XSS), która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwego JavaScript przez przesyłanie spreparowanych danych formularza kontaktowego. Atakujący mogą wstrzyknąć kod przez parametry name, subject i message w żądaniach POST do /gmusic/zuzconsole/___contact, który wykonuje się, gdy administrator przegląda wiadomości w interfejsie skrzynki odbiorczej.

W bibliotece keystonejs keystone do wersji 20260319 wykryto podatność w komponencie GraphQL API Endpoint. Manipulacja nieznanym kodem w pliku output-field.ts prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Produkt HCL iControl jest dotknięty podatnością słabej walidacji wejścia. Oczekiwane dane wejściowe określonego typu nie są prawidłowo walidowane, co może prowadzić do nieoczekiwanego zachowania.

Wtyczka WP eMember dla WordPressa do wersji v10.2.2 ujawnia poufne informacje systemowe nieautoryzowanym podmiotom, umożliwiając odzyskanie osadzonych danych wrażliwych.

Podatność typu out-of-bounds write w bibliotece rlottie od Samsunga umożliwia przepełnienie buforów. Problem występuje przed commitem dcfde72eae1b0464dc0dd760aec00ada6a148635.

Aplikacja AcerConnect OTA używa stałych kluczy AES-128-CBC, co pozwala atakującemu na sfałszowanie poświadczeń autoryzacyjnych dla dowolnych numerów IMEI. Umożliwia to nieautoryzowanym podmiotom przeglądanie katalogów i pobieranie chronionych plików binarnych z podpisanych linków chmurowych.

Panel administracyjny webowy nasłuchuje na publicznym adresie IPv6 na porcie [::]:8080 bez domyślnych ograniczeń zapory, co sprawia, że wewnętrzne punkty końcowe API są dostępne przez WAN.

W dotkniętych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą pewnego endpointu API, mimo otrzymywania błędu.