Katalog podatności CVE

Wtyczka WordPress Online Payments with iK Pay Gateway przed wersją 3.0.4 nie weryfikuje poprawnie autentyczności wywołania zwrotnego bramki płatności w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie pomyślnego powiadomienia o płatności i oznaczenie dowolnych zamówień jako opłacone bez dokonania płatności oraz oznaczenie dowolnych nieprzetworzonych zamówień jako nieudane.

Wtyczka WordPress Eurobank WooCommerce Payment Gateway do wersji 2.1.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a domyślnie wysyłana jest z pustym sekretem uwierzytelniającym. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnego oczekującego zamówienia jako opłacone oraz wymuszenie statusu niepowodzenia bez znajomości sekretu.

Wtyczka WordPress Payment Gateway do wersji 2.2.0 nie zapewnia skonfigurowania wspólnego sekretu przed użyciem go do uwierzytelnienia wywołania zwrotnego powiadomienia o płatności banku. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie ważnego powiadomienia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone w instalacjach bez ustawionego sekretu, a to samo wywołanie zwrotne pozwala przenieść dowolne oczekujące zamówienie do stanu nieudanego niezależnie od konfiguracji sekretu.

Wtyczka WordPress CCAvenue Payment Gateway for WooCommerce do wersji 3.1 nie weryfikuje, czy żądanie potwierdzenia płatności rzeczywiście pochodzi od dostawcy płatności, a klucz weryfikacyjny wyprowadza z wartości pustej w domyślnej instalacji. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie potwierdzenia i oznaczenie dowolnego zamówienia WooCommerce jako opłacone bez dokonania płatności.

W NocoDB do wersji 2026.07.0 funkcja UserRefreshToken.deleteAllUserToken w pliku /auth/user/signup, powiązana z komponentem PublicApiLimiterGuard, pozwala na niekontrolowane przydzielanie zasobów. Brak limitowania żądań na nieuwierzytelnionych endpointach rejestracji i resetowania hasła umożliwia zdalne wywołanie ataku o wysokiej złożoności. Producent uznaje obejście limitera za zamierzony projekt i usunął zgłoszenie bez wyjaśnienia.

W NocoDB do wersji 2026.08.0 wykryto podatność w nieokreślonej części pliku users.service.ts w komponencie przepływu resetowania hasła. Manipulacja prowadzi do sytuacji wyścigu (race condition), którą można wykorzystać zdalnie. Producent usunął zgłoszenie z GitHuba bez wyjaśnienia i nie odpowiedział na kontakt w sprawie ujawnienia.

W Z.ai Zcode do wersji 3.14.3/3.15.1 wykryto podatność w nieokreślonej funkcjonalności komponentu filtra poleceń Sed. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego (OS command injection), a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W systemie GouGuOA do wersji 6.1.2 wykryto lukę w funkcji chunkUpload w pliku app/disk/controller/Api.php. Manipulacja argumentem file_extension prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.

W 2K Games Civilization V 1.0.3.144 wykryto podatność w funkcji loadstring komponentu Lua Sandbox, prowadzącą do pomylenia typów (type confusion). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Dostawca nie odpowiedział na zgłoszenie.

W continuedev Continue 2.0.0 wykryto podatność w funkcji MCPManagerSingleton.setConnections w pliku core/config/ConfigHandler.ts komponentu MCP Server Transport, prowadzącą do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony. Dostawca nie odpowiedział na zgłoszenie.

W openbq-org OpenBB do wersji 4.7.2/5.0.0 wykryto podatność w pliku openbb_platform/core/openbb_core/app/model/api_settings.py komponentu Local API Server, powodującą nieprawidłową kontrolę dostępu. Zdalne wykorzystanie ataku jest możliwe, a exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.

W wtyczce Datafeedr Product Sets do wersji 1.3.24 na WordPressie wykryto podatność w funkcji dfrps_ajax_delete_saved_search w pliku functions/ajax.php komponentu AJAX Handlers, wynikającą z braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny i może być użyty. Aktualizacja do wersji 1.3.25 rozwiązuje problem.

W bibliotece Sony Neural Network Libraries do wersji 1.39.0 wykryto lukę w funkcji func_set_nnabla_version_decorate w pliku python/src/nnabla/utils/converter/utils.py (komponent NNP Converter). Manipulacja argumentem function.type prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.

W Sony Neural Network Libraries do wersji 1.39.0 wykryto lukę w funkcji load_param_in_txt w pliku python/src/nnabla/utils/cli/encode_decode_param.py (komponent Encode Param Command Handler). Manipulacja danymi prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.

W QuantGeekDev docker-mcp w wersjach 0.1.0 i 0.2.0 wykryto lukę w funkcji _build_windows_command w pliku docker_executor.py. Manipulacja argumentem project_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można zainicjować zdalnie.

W itsourcecode Online Cake Ordering System 1.0 wykryto lukę w nieznanej funkcji pliku /deletetransac.php. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

W Fusion Creators Studio SCP Containment Breach Multiplayer do wersji 1.295 wykryto podatność w funkcji BlitzBanks komponentu Skynet++ Virtual Machine. Manipulacja danymi może prowadzić do zapisu poza granice bufora, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany.

W SteelRaven7 Ravenfield 25407073 wykryto podatność w funkcji cacheCoverPoints komponentu RFL/RFLD Custom Map Handler. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Dostępna jest poprawka o nazwie EA39 Security Patch.

W CloudClassroom-PHP-Project wykryto podatność w pliku addnewstudent.php polegającą na manipulacji argumentem fname prowadzącej do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Produkt działa w modelu rolling release, więc brak szczegółów wersji.

W ggml-org llama.cpp funkcja list_pockettts_state_slots w pliku tools/mtmd/models/pockettts-gen.cpp (komponent Pocket-TTS) pozwala na out-of-bounds write poprzez manipulację argumentem mmproj. Atak wymaga lokalnego dostępu, a exploit jest publicznie dostępny. Aktualizacja do wersji b11796 rozwiązuje problem.