Katalog podatności CVE

ArcadeDB przed wersją 26.7.3 ujawnia token klastra (arcadedb.ha.clusterToken) w postaci jawnego tekstu przez narzędzie MCP get_server_settings. Atakujący z dostępem MCP może go wykorzystać do podszycia się pod roota.

ArcadeDB przed wersją 26.7.3 wiąże rzeczywisty obiekt LocalDatabase w kontekstach triggerów JavaScript z HostAccess.ALL, umożliwiając administratorom schematu wywołanie getSecurity().createUser() bez sprawdzania uprawnień.

better-auth passkey przed wersją 1.4.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu w punkcie końcowym usuwania passkey. Uwierzytelnieni użytkownicy mogą usuwać dowolne passkey innych użytkowników.

Better Auth używa biblioteki rou3, która normalizuje ścieżki URL przez usuwanie pustych segmentów. W wersjach Better Auth przed 1.4.5 atakujący może ominąć konfigurację disabledPaths oraz ograniczenia szybkości oparte na ścieżce, wysyłając żądania z dodatkowymi ukośnikami w ścieżce URL. Problem nie występuje, gdy proxy lub platforma normalizuje adresy URL przez zwijanie wielu ukośników.

Wtyczka Simply Schedule Appointments dla WordPressa przed wersją 1.6.12.6 nie ogranicza poprawnie operacji masowego przeglądania terminów do rekordów żądającego. Nieuwierzytelnieni użytkownicy mogą pobrać dane osobowe wszystkich terminów w witrynie, a w edycji premium także trwale je usunąć.

Wtyczka Product Attachment for WooCommerce do WordPressa przed wersją 2.3.3 nie sprawdza autoryzacji przed strumieniowym przesyłaniem plików z biblioteki mediów. Umożliwia to nieuwierzytelnionym użytkownikom pobieranie dowolnych załączników, w tym prywatnych lub niepowiązanych plików, poprzez enumerację ich numerycznego ID.

Wtyczka login-social do WordPressa do wersji 1.0.4 nie weryfikuje żądań resetowania hasła za pomocą klucza resetu ani tożsamości żądającego. Ponadto wydaje sesje uwierzytelniające na podstawie niezweryfikowanych danych logowania od stron trzecich, co pozwala nieuwierzytelnionym atakującym zresetować hasło dowolnego użytkownika lub zalogować się jako dowolne istniejące konto, w tym administratorów, i przejąć witrynę.

Wtyczka AI ChatBot dla WooCommerce dla WordPressa przed wersją 4.8.4 nie wykonuje autoryzacji ani sprawdzenia nonce w jednej z akcji AJAX. Pozwala to nieuwierzytelnionym użytkownikom na nadużywanie przechowywanego klucza API strony trzeciej właściciela witryny, wysyłanie żądań obciążających konto właściciela oraz, gdy opcjonalna funkcja jest włączona, pobieranie indeksowanej treści bazy wiedzy.

Wtyczka Gallery for Google Photos dla WordPressa przed wersją 1.2.1 nie ogranicza prawidłowo dostępu do przechowywanych poświadczeń OAuth strony trzeciej podłączonego konta. Ujawnia to trwałe tokeny dostępu i odświeżania nieuwierzytelnionym użytkownikom, umożliwiając długoterminowe przejęcie połączonego konta.

Wtyczka SMS Alert dla WordPressa przed wersją 3.9.8 nie wiąże flagi sesji 'mobile verified' z faktycznie zweryfikowanym numerem telefonu. Po zweryfikowaniu OTP wysłanego na własny telefon atakującego, procedura logowania odczytuje nowy, podany przez atakującego numer telefonu do wyboru konta i loguje go. Nieuwierzytelniony atakujący może zalogować się jako dowolny użytkownik, w tym administrator, który ma numer telefonu do fakturowania.

Wtyczka Five Star Restaurant Reservations dla WordPressa przed wersją 2.7.23 nie sprawdza uprawnień w jednej z akcji AJAX. Umożliwia to użytkownikom z najniższą rolą zarządzania rezerwacjami (która domyślnie nie ma dostępu do ustawień wtyczki) zresetowanie skonfigurowanych reguł powiadomień o rezerwacjach.

Opis CVE-2026-14920 zawiera jedynie słowo '## Summary', co uniemożliwia szczegółową analizę. Na podstawie dostępnych informacji nie można określić charakteru podatności.

Motyw WordPress Lenxel WP w wersji do 1.0.31 nie przeprowadza żadnej kontroli autoryzacji ani własności w akcji resetowania hasła, walidując jedynie token CSRF. Pozwala to nieuwierzytelnionym atakującym zresetować hasło dowolnego użytkownika (w tym administratora) i przejąć konto.

Wtyczka User Access Manager dla WordPressa jest podatna na przeszukiwanie katalogów we wszystkich wersjach do 2.3.15 włącznie poprzez parametr 'uamgetfile'. Nieuwierzytelnieni atakujący mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Dzieje się tak, ponieważ gdy funkcja attachment_url_to_postid() zwraca 0 dla ścieżki przeszukiwania, wtyczka używa globalnego posta ustawionego przez prawidłowy parametr ?attachment_id, co powoduje, że kontrola dostępu przechodzi dla publicznego załącznika, podczas gdy strumieniowany jest plik wybrany przez atakującego.

Wtyczka CubeWP Framework dla WordPressa jest podatna na przeszukiwanie katalogów we wszystkich wersjach do 1.1.30 włącznie poprzez funkcję 'cubewp_get_svg_content'. Nieuwierzytelnieni atakujący mogą odczytać zawartość dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Podatność jest wykorzystywana przez nieuwierzytelnionych atakujących, ponieważ wymagany nonce jest publicznie emitowany w znacznikach każdej strony renderującej shortcode lub widget CubeWP z włączonym ładowaniem AJAX, co umożliwia jego przechwycenie przez każdego gościa przed wysłaniem żądania AJAX.

Podatność w bibliotece guardian (wersje od 1.0.0 przed 2.4.1) polega na nieprawidłowej weryfikacji podpisu kryptograficznego, co pozwala nieuwierzytelnionemu atakującemu na unieważnienie sesji ofiary za pomocą sfałszowanego tokena JWT.

Podatność w bibliotece Guardian (moduł Guardian.Permissions) pozwala na atak DoS poprzez wyczerpanie tablicy atomów BEAM. Funkcja encode_permissions!/1 konwertuje klucze mapy na atomy bez walidacji, a atomy nie są usuwane przez garbage collector, co prowadzi do wyczerpania stałego zasobu tablicy atomów.

Podatność w bibliotece Guardian (Elixir) umożliwia atak DoS poprzez nieograniczone tworzenie atomów z danych binarnych kontrolowanych przez atakującego. Funkcja encode/3 w Guardian.Permissions.AtomEncoding wywołuje String.to_atom/1 bez walidacji, co prowadzi do wyczerpania tablicy atomów BEAM i awarii węzła.

Podatność w guardian (wersje od 0.1.0 przed 2.4.1) polega na alokacji zasobów bez ograniczeń, co umożliwia atakującemu przeprowadzenie ataku DoS poprzez tworzenie nieograniczonej liczby atomów z danych binarnych.