Katalog podatności CVE

Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.

Wtyczka Contact Form DB for Enfold dla WordPressa w wersjach do 2.0.2 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez wartości pól formularza kontaktowego. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Złośliwa zawartość jest odbijana bez escapowania w atrybucie title oraz w komórce tabeli w pliku admin/ecf_index.php, a kodowanie base64 i serializacja nie neutralizują zagrożenia.

Wtyczka JTL-Connector for WooCommerce dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez punkt końcowy 'product.push' Identity Endpoint. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. Iniekcja następuje podczas łączenia tożsamości, zanim wykona się ProductController::push(), więc wykorzystanie udaje się nawet jeśli dalsze przetwarzanie produktu odrzuciłoby żądanie.

Wtyczka Document Gallery dla WordPressa w wersjach do 5.1.1 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez treść żądania akcji 'dg_thumber_webhook'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga włączenia logowania w ustawieniach zaawansowanych wtyczki, co jest domyślne tylko gdy WP_DEBUG ma wartość true; w przeciwnym razie administrator musi je włączyć ręcznie.

Wtyczka Countdown Timer – Widget Countdown dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut shortcode 'redirect_url' we wszystkich wersjach do 3.0.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Nix w wersjach przed 2.35.3 oraz Lix w wersjach przed 2.95.4 zawierają przepełnienie liczbowe i wynikający z niego zapis poza granicami bufora podczas ewaluacji niezaufanych wyrażeń, ponieważ alokacja list jest nieprawidłowo obsługiwana. Może to prowadzić do uszkodzenia pamięci i potencjalnego wykonania kodu.

Wtyczka AGE-GATE dla WordPressa do wersji 1.0 włącznie jest podatna na zdalne wykonanie kodu przez parametry 'width' i 'height'. Wynika to z braku uwierzytelniania, kontroli uprawnień i weryfikacji nonce na samodzielnym punkcie końcowym admin.php, a także z niesanityzowanego wstrzykiwania parametrów POST bezpośrednio do generowanego kodu PHP zapisywanego do dołączanego pliku. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze.

Wtyczka Tutor LMS – eLearning and online course solution dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'tab' we wszystkich wersjach do 4.1.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy uda mu się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga, aby docelowa strona lekcji miała pustą tablicę nav-items, co występuje naturalnie, gdy lekcja nie ma treści, załączników, a komentarze są wyłączone lub użytkownik nie jest zalogowany.

Wtyczka Directorist: AI-Powered Business Directory, Listings & Classified Ads dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'phone' w ogłoszeniu we wszystkich wersjach do 8.10.2.1 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę. Jest to możliwe, ponieważ wtyczka przyznaje roli subskrybenta uprawnienia edit_at_biz_dirs i publish_at_biz_dirs, pozwalając każdemu subskrybentowi na publikowanie ogłoszeń bez moderacji.

Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'QUERY_STRING / REQUEST_URI'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga umieszczenia przez administratora shortcode [NewStatPress type="Top Pages"] na publicznie widocznej stronie oraz zgromadzenia przez spreparowany URL wystarczającej liczby odsłon, aby pojawił się w rankingu top-N.

Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na wstrzyknięcie SQL przez trwałą wartość meta_value koszyka gościa. Wynika to z niewystarczającego escapowania danych użytkownika i braku przygotowania zapytania SQL w funkcji update_guest_persistent_cart(). Wartość abandoned_cart_info, pochodząca z pól kontrolowanych przez atakującego, jest konkatenowana bezpośrednio do instrukcji UPDATE. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowego SQL do zapytania, co może prowadzić do ekstrakcji danych i eskalacji uprawnień.

Wtyczka Abandoned Cart Pro dla WooCommerce do wersji 10.8.0 włącznie jest podatna na ominięcie uwierzytelniania przez plastyczne szyfrowanie i możliwy do ominięcia HMAC. Wynika to z użycia szyfrowania AES-CTR bez MAC dla tokenów linków odzyskiwania koszyka, gdzie nonce jest przenoszony w ciphertext, a klucz jest wyszukiwany na podstawie parametru user_email, oraz z warunkowego sprawdzania HMAC, które można ominąć przez pominięcie parametru wcap_nonce. Umożliwia to nieuwierzytelnionym atakującym, posiadającym jeden prawidłowy link, sfałszowanie ciphertextu i przejęcie konta dowolnego użytkownika, który kiedykolwiek porzucił koszyk, w tym administratora.

Epic Games Unreal Engine w wersjach do 5.8.0 włącznie zawiera niezabezpieczoną domyślną konfigurację dla węzła LaunchURL Blueprint (UKismetSystemLibrary::LaunchURL). Filtr schematów URL (FURLRequestFilter) jest domyślnie pusty, co zezwala na wszystkie schematy URL. W systemie Windows prowadzi to do wywołania ShellExecuteW() z czasownikiem open, więc dostarczony URI file:/// powoduje wykonanie wskazanego pliku. Każda gra na Unreal Engine, która ładuje treści generowane przez użytkownika zawierające Blueprinty, jest podatna na wykonanie kodu poprzez złośliwy lokalny plik lub zdalny plik w udziale WebDAV. Jest to przykład CWE-1188 (Inicjalizacja zasobu z niezabezpieczoną wartością domyślną).

Collabora Online Built-in CODE Server przed wersją 26.4.303 (richdocumentscode), aplikacja Nextcloud, umożliwia zdalne wykonanie kodu, wykorzystywane w środowisku naturalnym we wrześniu i październiku 2026. Jest to wstrzyknięcie poleceń systemu operacyjnego w proxy.php, gdy serwer CODE nie działa. Podatność nie występuje w samodzielnych serwerach Collabora Online.

TeamPlus Messenger firmy Teamplus Technology zawiera podatność na wstrzyknięcie kodu. Nieuwierzytelnieni zdalni atakujący mogą nakłonić użytkowników do interakcji ze spreparowaną treścią, aby wstrzyknąć i wykonać dowolny JavaScript. Po potwierdzeniu przez użytkownika ostrzeżenia bezpieczeństwa Windows atakujący mogą wykonać dowolny kod z uprawnieniami bieżącego użytkownika.

TeamPlus Messenger firmy Teamplus Technology zawiera podatność na wstrzyknięcie kodu. Nieuwierzytelnieni zdalni atakujący mogą nakłonić użytkowników do otwarcia spreparowanego linku, aby wstrzyknąć i wykonać dowolny JavaScript. Po potwierdzeniu przez użytkownika ostrzeżenia bezpieczeństwa Windows atakujący mogą wykonać dowolny kod z uprawnieniami bieżącego użytkownika.

Wtyczka Snazzy Social Media Feed dla WordPressa do wersji 2.5 włącznie jest podatna na dowolne przesyłanie plików przez funkcję (file scope). Wynika to z braku bootstrapu WordPressa, uwierzytelniania, uprawnień i kontroli nonce w samodzielnym skrypcie save-to-cache.php, a także z niewystarczającej sanityzacji parametru pluginURL przed zapisem do wykonywalnego pliku PHP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.

Wtyczka AnyComment dla WordPressa w wersjach do 0.3.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'email'. Wynika to z niewystarczającej sanityzacji danych wejściowych w publicznym punkcie końcowym REST /wp-json/anycomment/v1/subscribe oraz braku escapowania danych wyjściowych w AnyCommentSubscriptionsTable::column_default(), która zwraca zapisany adres e-mail dosłownie do komórki HTML <td>, gdy user_ID subskrypcji nie odpowiada istniejącemu WP_User. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy administrator odwiedzi stronę administracyjną AnyComment → Subscriptions.

Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa w wersjach do 10.8.0 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'validate'. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. AES-CTR jest podatnym na manipulację szyfrem strumieniowym, więc atakujący, który uzyska jeden prawidłowy token poprzez porzucenie koszyka z kontrolowanym adresem e-mail, może odzyskać strumień klucza i sfałszować szyfrogram przenoszący dowolny SQL. Sprawdzenie HMAC dodane w wersji 10.4.1 jest wymuszane tylko gdy parametr wcap_nonce jest obecny, więc pominięcie tego parametru całkowicie je pomija.

Wtyczka Printcart Store (PCDesigner / NB Designer) dla WooCommerce do wersji 2.9.1 włącznie jest podatna na nieuwierzytelnione dowolne przesyłanie plików prowadzące do zdalnego wykonania kodu. Akcja AJAX nbdesigner_copy_image_from_url jest zarejestrowana dla niezalogowanych wywołań, a jej gałąź Google Drive odtwarza nazwę pliku docelowego z surowego parametru gapi[name], omijając listę dozwolonych rozszerzeń, i zapisuje pobrane bajty do katalogu dostępnego z sieci. Umożliwia to nieuwierzytelnionym atakującym zapisanie pliku .php w lokalizacji wykonywalnej i wykonanie dowolnego kodu na serwerze.