Katalog podatności CVE

Blosc C-Blosc2 do wersji 3.3.2 ma podatność na przepełnienie liczby całkowitej w funkcji blosclz_decompress w pliku blosc/blosclz.c w komponencie blosclz Decompression. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Zalecane jest zaktualizowanie do wersji 3.3.3.

Astro to framework webowy dla stron opartych na treści. Przed wersją 11.1.3 adapter @astrojs/node buduje URL żądania z nagłówka Host, a nieprawidłowy port może uczynić ten URL nieprawidłowym. Ścieżka odzyskiwania używa tego samego nieprawidłowego hosta i wyrzuca nieprzechwycony TypeError: Invalid URL przed rozpoczęciem routingu. W domyślnej konfiguracji standalone żądanie zwraca odpowiedź HTTP 500 i serwer kontynuuje działanie, ale gdy włączony jest staticHeaders, synchroniczny handler nie łapie wyjątku i proces Node zostaje zakończony. Proxy i CDN, które odrzucają nieprawidłowe nagłówki Host, zapobiegają dotarciu tej ścieżki do origin. Problem dotyczy tylko dostępności i nie ujawnia danych ani nie pozwala na wykonanie kodu. Problem został naprawiony w wersji 11.1.3.

Astro od wersji 5.2.0 do 8.2.4 ma podatność w adapterze @astrojs/netlify, która generuje wyrażenia regularne dla list dozwolonych obrazów Netlify Image CDN bez zakotwiczenia ich do początku URL. Pozwala to atakującemu kontrolować host URL, podczas gdy dozwolony origin pojawia się tylko w ścieżce lub zapytaniu. Nieuwierzytelnione żądanie do publicznego punktu /.netlify/images może spowodować, że Image CDN pobierze adresy URL wybrane przez atakującego, potencjalnie docierając do usług wewnętrznych. Problem naprawiono w wersji 8.2.4.

Niezgodność ABI w setterze MQTT WebSocket może ujawnić pamięć lub spowodować awarię.

Podatność na path traversal / dowolny zapis plików w ekstrakcji obrazów katalogów operatorów w oc-mirror. Podczas dublowania katalogów operatorów przy użyciu ścieżki v1 (--v1) lub ścieżki OCI (--use-oci-feature), oc-mirror wyodrębnia wpisy tar z warstw obrazów katalogów bez walidacji, czy ścieżki plików rozwiązują się w obrębie docelowego katalogu.

LiteSpeed Web Server (LSWS) przed wersją 6.3.7 build 1 nieprawidłowo obsługuje walidację URL wewnętrznych przekierowań w pewnym 'skrajnym przypadku'.

Brak kontroli autoryzacji w komponencie Vaadin Spreadsheet pozwala uwierzytelnionemu użytkownikowi aplikacji wyświetlającej arkusz kalkulacyjny dodawać lub zastępować komentarze w komórkach na chronionym arkuszu, w tym w komórkach zablokowanych. Zapis komentarza do nieistniejącej komórki powoduje również utworzenie wiersza i komórki.

W bibliotekach Vaadin Charts oraz Vaadin Component Base występuje podatność prototype pollution w mechanizmach głębokiego scalania obiektów (deep merge). Wstrzyknięcie niezaufanego obiektu do konfiguracji wykresu lub właściwości i18n komponentu powoduje zapis właściwości na Object.prototype, przez co stają się one widoczne dla wszystkich obiektów w działającej aplikacji.

Niewłaściwa neutralizacja specjalnych elementów użytych w poleceniu SQL (iniekcja SQL) w SOPLOG firmy Dolusoft Software Technologies umożliwia iniekcję SQL. Problem dotyczy SOPLOG przed wersją Soplog 2026.9.4.1.

GraphicsMagick do wersji 1.3.47 ma podatność na niekontrolowaną rekurencję w funkcji ExtractPostscript w pliku coders/wpg.c w komponencie WPG File Handler. Atak może być przeprowadzony zdalnie. Zalecane jest zainstalowanie poprawki o nazwie 627b5b1b2fc2.

Wtyczka MPG w wersjach do 4.2.3 włącznie pozwala nieuwierzytelnionemu użytkownikowi na dostęp do wrażliwych danych. Brak wymaganego uwierzytelnienia umożliwia ujawnienie poufnych informacji.

Wtyczka Cool Formkit Lite w wersjach do 2.7.8 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Razorpay Payment Links for WooCommerce w wersjach do 2.1.5 włącznie jest podatna na Cross Site Request Forgery (CSRF) bez wymaganego uwierzytelnienia. Nieuwierzytelniony atakujący może wymusić na ofierze wykonanie niechcianych akcji.

Wtyczka King Addons for Elementor w wersjach do 51.1.86 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Podatność na iniekcję SQL w wtyczce Media Library Assistant w wersjach do 3.41, wykorzystywana przez użytkowników z rolą Contributor.

Wtyczka YITH WooCommerce Tab Manager w wersjach do 2.15.0 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Author. Pozwala to na wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Quiz And Survey Master (quiz-master-next) do WordPressa zawiera podatność typu DOM-Based Cross-site Scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 11.2.6 włącznie.

Wtyczka OAuth Server w wersjach do 4.5.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Umożliwia to wstrzyknięcie złośliwego skryptu do strony.

Wtyczka Event Tickets (Liquid Web / StellarWP) jest podatna na wstrzyknięcie SQL (SQL Injection) typu Blind SQL Injection z powodu nieprawidłowej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność dotyczy wersji od n/a do 5.29.5.

Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.