Katalog podatności CVE

W podatności CVE-2025-10466 występuje niewłaściwe neutralizowanie danych wejściowych podczas generowania stron internetowych w Safe Access w Synology Safe Access przed wersją 1.3.1-0329. Umożliwia to zdalnym użytkownikom z uprawnieniami administratora odczyt lub zapis określonych plików zawierających niesensytywne informacje oraz przeprowadzenie ograniczonego ataku typu denial-of-service w SRM.

W podatności CVE-2024-11399 w komponencie redis-server w Synology BeeDrive dla systemu desktop przed wersją 1.3.2-13814, lokalni użytkownicy mogą uzyskać dostęp do plików lub katalogów, co umożliwia przeprowadzenie ataków typu denial-of-service za pomocą nieokreślonych wektorów.

Podatność CVE-2026-41704 dotyczy BOSH Director, gdzie metoda AgentClient#handle_method przetwarza odpowiedzi NATS, co prowadzi do nieautoryzowanego dostępu do zasobów w blobstore. Brak odpowiednich kontroli, takich jak sprawdzenie formatu UUID, uprawnień oraz prefiksu przestrzeni nazw, umożliwia nieautoryzowane usunięcie zasobów.

Podatność CVE-2026-41009 dotyczy BOSH Director, gdzie odpowiedź agenta na długoterminowe żądania może prowadzić do nieautoryzowanego dostępu do plików systemowych. W wyniku braku normalizacji identyfikatora blob, możliwe jest odwołanie się do plików poza katalogiem głównym blobstore.

Wtyczka CM Ad Changer dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.0.7 włącznie. Brak walidacji nonce w funkcji cmac_campaigns_action umożliwia nieuwierzytelnionym atakującym trwałe usunięcie dowolnych kampanii reklamowych wraz z powiązanymi banerami i przesłanymi plikami.

Wtyczka ShopLentor dla WordPressa do wersji 3.3.8 zawiera podatność na przechowywany XSS przez atrybut 'blockUniqId' w blokach Product Grid. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty.

Wtyczka Yoast SEO dla WordPressa do wersji 26.5 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w punkcie końcowym REST API Meta Search. Brakuje w nim odpowiednich kontroli autoryzacji, które weryfikowałyby własność posta, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na odczyt wrażliwych metadanych SEO z dowolnego posta na stronie, w tym postów innych użytkowników, prywatnych i szkiców.

Wtyczka Splide Carousel Block dla WordPressa do wersji 1.7.1 jest podatna na przechowywany XSS przez atrybut 'url' w blokach. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, ale wymagają zatwierdzenia przez redaktora lub administratora.

Atakujący wstrzykują złośliwe skrypty (np. JavaScript) do systemu docelowego. Gdy inni użytkownicy odwiedzają zainfekowane strony, skrypty wykonują się w ich przeglądarkach, umożliwiając kradzież ciasteczek, przejęcie sesji i modyfikację treści.

Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0 (w tym 9.3.x i 8.3.x) ujawnia poświadczenia klastra Hadoop w postaci jawnego tekstu przez API Cluster Test. Użytkownik może wykorzystać te poświadczenia do przesyłania zadań przez backend API.

Hitachi Vantara Pentaho Data Integration & Analytics w wersjach przed 10.2.0.6 i 11.0.0.0, w tym 9.3.x i 8.3.x, nie stosuje list kontroli dostępu (ACL) na niektórych punktach końcowych API związanych z powiadomieniami e-mail platformy.

Podatność w bibliotece IO::Uncompress::Unzip dla Perla przed wersją 2.215. Nieobsłużony wyjątek podczas parsowania nagłówka ZIP z uszkodzoną datą DOS powoduje przerwanie działania.

W QianFox FoxCMS do wersji 1.2.6 wykryto podatność w funkcji Edit pliku Admin.php, umożliwiającą manipulację procesem odzyskiwania hasła. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Tanium zaadresował podatność na odmowę usługi w Tanium Server. Problem może prowadzić do przerwania działania serwera.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa do wersji 1.6.11.5 włącznie jest podatna na atak DoS. Publicznie dostępny endpoint REST API (/wp-json/ssa/v1/async) wywołuje funkcję sleep() z parametrem delay bez ograniczeń szybkości, co pozwala niezalogowanym atakującym wyczerpać procesy PHP.

Wtyczka Style Kits dla WordPress do wersji 2.5.0 zawiera podatność na Stored XSS poprzez parametr kit title w endpoint '/wp-json/agwp/v1/tokens/save'. Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wstrzyknąć dowolny kod JavaScript, który wykona się przy każdej wizycie na zainfekowanej stronie.

W OpenStack Swift przed wersjami 2.36.2 i 2.37.2, oprogramowanie pośredniczące s3api wchodzi w nieskończoną pętlę podczas przetwarzania obciętego żądania PUT z kodowaniem aws-chunked. Klasa StreamingInput wielokrotnie dołącza pusty bufor i ponownie odczytuje, powodując trwałe zawieszenie procesu roboczego proxy-server z rosnącym zużyciem CPU i pamięci. Uwierzytelniony atakujący może systematycznie wyczerpać wszystkie procesy robocze proxy-server, prowadząc do odmowy usługi. Błąd wprowadzono w Swift 2.36.0.

W itsourcecode Courier Management System 1.0, nieznana funkcja w pliku /parcel_list.php jest podatna na SQL Injection poprzez manipulację argumentem s. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W GitHub Enterprise Server przed wersjami 3.20.3, 3.19.7, 3.18.10, 3.17.16 i 3.16.19 występuje podatność SSRF w funkcji wyszukiwania pakietów w security advisories. Atakujący może kierować żądania do wewnętrznych usług i na podstawie czasu odpowiedzi inferować wartości wrażliwych zmiennych środowiskowych, w tym sekretów i kluczy prywatnych.

W JeecgBoot do wersji 3.9.1 wykryto podatność w komponencie AiragModelController, gdzie manipulacja argumentami list/queryById prowadzi do nieprawidłowej kontroli dostępu. Atak może być wykonany zdalnie, a exploit jest publiczny. Problem rozwiązano w wersji 3.9.2.