Katalog podatności CVE

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nieprawidłowo weryfikuje autoryzację na modyfikowanym obiekcie przed aktualizacją metadanych typu szablonu, walidując parametr żądania inny niż ten używany w operacji zapisu. Pozwala to użytkownikom z uprawnieniami Współautora i wyżej na zmianę przypisania typu szablonu dla szablonów należących do innych użytkowników.

Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nie ogranicza prawidłowo, kto może modyfikować globalne dane projektowe witryny, oraz nie sanitizuje części tych danych przed ich wyświetleniem. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami Autora i wyżej przechowywanie dowolnego JavaScriptu, który jest następnie serwowany bez sanitizacji na stronach front-end i wykonuje się w przeglądarce każdego odwiedzającego, w tym administratorów.

Wtyczka MonsterInsights dla WordPressa przed wersją 11.1.0 nieprawidłowo weryfikuje podpis w jednej z nieuwierzytelnionych akcji AJAX. Gdy wtyczka nie jest połączona z Google Analytics, klucz HMAC jest pusty, co pozwala nieuwierzytelnionym atakującym na sfałszowanie podpisu i nadpisanie wartości konfiguracyjnej, zakłócając analitykę serwerową w trybie Manual GA4.

W SSSD znaleziono błąd w funkcji sss_nss_protocol_fill_initgr() w responderze NSS. Funkcja wstępnie przydziela miejsce na odpowiedź dla wszystkich wpisów grup, ale nie zmniejsza pakietu, gdy grupy są pomijane, co powoduje wysyłanie niezainicjalizowanych bajtów z sterty do klienta. Lokalny atakujący może to wykorzystać do ujawnienia danych z pamięci podręcznej katalogu i informacji o układzie sterty z procesu sssd_nss.

W bibliotece popt, służącej do parsowania opcji wiersza poleceń, znaleziono błąd off-by-one w funkcji poptStuffArgs. Przy wielokrotnym wywołaniu przez aplikację hosta lub przez głębokie zagnieżdżenie aliasów może dojść do uszkodzenia wewnętrznych danych programu. To uszkodzenie może potencjalnie umożliwić lokalnemu atakującemu wykonanie dowolnego kodu, jeśli aplikacja hosta następnie niebezpiecznie przetworzy zmienione dane.

W komponencie keycloak-services (część Red Hat Build of Keycloak) wykryto błąd w endpointcie wylogowania backchannel. Gdy dostawca tożsamości OIDC jest skonfigurowany do pomijania weryfikacji podpisu, system błędnie akceptuje żądania wylogowania bez podpisu kryptograficznego. Atakujący znający szczegóły sesji użytkownika może wymusić jego wylogowanie.

Podatność w kliencie HTTP Node.js powoduje desynchronizację żądań w serwerach proxy opartych na Node.js, które odtwarzają nagłówki wychodzące z widocznych nagłówków `IncomingMessage`, jednocześnie przesyłając oryginalne ciało żądania do ponownie używanego połączenia backendu. Node.js może pominąć nagłówki przekraczające `maxHeadersCount`/`maxHeaderPairs` w `req.headers`, `req.rawHeaders` i `req.headersDistinct`, ale nadal używać ich wewnętrznie do ramowania wiadomości HTTP, w szczególności ukrywając `Content-Length` przed aplikacją, podczas gdy ciało żądania jest nadal dostarczane.

Niewystarczająca weryfikacja autentyczności danych w Caliptra Core ROM i Core Firmware (funkcja validate_debug_unlock_token()) w trybie podsystemu pozwala atakującemu z dostępem do usługi podpisywania debug unlock integratora na odblokowanie debugowania produkcyjnego na niezamierzonym urządzeniu, prezentując ważny token wydany dla innego urządzenia o tym samym hashu klucza debug unlock. Nonce 384-bitowy nadal zapobiega replayowi wcześniej wydanych tokenów. Praktyczny wpływ jest ograniczony do utraty egzekwowania zakresu per-urządzenie w grupie urządzeń, które z założenia mają tego samego autorytetu odblokowania; nie umożliwia odblokowania debugowania na urządzeniach spoza tej grupy.

Misskey w wersjach od 2025.3.2 do 2026.5.4 (przed 2026.5.4) zawiera podatność polegającą na braku odpowiednich kontroli uprawnień, co umożliwia dostęp do niektórych danych z funkcji Direct Messages (dawniej Chat) niezależnie od uprawnień konta. Notatki z widocznością 'specified' nie są dotknięte. Problem został naprawiony w wersji 2026.5.4.

OpenAkita do wersji 1.27.12 zawiera podatność XSS w komponencie File Upload API, w pliku /api/upload. Manipulacja argumentem File umożliwia zdalne wykonanie skryptu. Eksploitacja jest trudna, ale exploit został opublikowany. Producent nie odpowiedział na zgłoszenie.

HCL iControl jest podatny na brak kontroli dostępu. Aplikacja nie egzekwowała odpowiednich szczegółowych kontroli dostępu, umożliwiając użytkownikom dostęp do funkcji administracyjnych bez odpowiedniej autoryzacji.

W urządzeniach wielofunkcyjnych (MFP) Sharp i Toshiba Tec dane drukowania są przechowywane wewnętrznie w pamięci podręcznej i nie są czyszczone po zakończeniu zadania. Mogą być później dostępne dla innych użytkowników.

W aplikacji Meesho Online Shopping App na Androida do wersji 20260607 wykryto podatność w komponencie com.meesho.supply. Argumenty user_id, numer telefonu, adres e-mail i nazwa są przechowywane w postaci jawnej (czystego tekstu). Atak wymaga fizycznego dostępu do urządzenia.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.

Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.

Wtyczka Tag, Category, and Taxonomy Manager do WordPressa przed wersją 3.51.0 nie weryfikuje, czy użytkownik ma uprawnienia dostępu do referencyjnego posta przed jego przetworzeniem i zwróceniem pochodnych danych. Pozwala to użytkownikom z uprawnieniami współautora na ujawnienie danych z prywatnych lub szkicowych postów, których nie są właścicielami.

W projekcie ggml-org llama.cpp (commit e15efe0) wykryto podatność w parserze szablonów Jinja Minja (plik parser.cpp). Manipulacja wejściem {{9|9|{ może prowadzić do osiągalnego asercji (assertion failure). Atak wymaga dostępu lokalnego.

W Zephyr's Bluetooth Mesh zarządzanie kluczami podsieci wycieka jeden slot klucza PSA Crypto przy każdym usunięciu klucza podsieci. Funkcja net_keys_create() importuje klucz Private Beacon do slotu PSA, ale funkcja subnet_keys_destroy() warunkuje wywołanie psa_destroy_key() na CONFIG_BT_MESH_V1d1, który został usunięty, więc slot nigdy nie jest zwalniany. Przy domyślnej liczbie 16 slotów, po około 12 cyklach dodawania/usuwania lub odświeżania kluczy pula slotów się wyczerpuje, uniemożliwiając dodawanie nowych podsieci i powodując błędy w innych konsumentach PSA Crypto.

Wtyczka Simple Restrict do WordPressa przed wersją 1.2.9 nie egzekwuje swojej kontroli uprawnień do ograniczania treści w REST API w taki sam sposób jak na froncie. Zamiast własnego systemu uprawnień, polega na ogólnej kontroli uprawnień, co pozwala użytkownikom z dostępem na poziomie współautora lub wyższym na czytanie treści ograniczonych postów i stron, do których nigdy nie otrzymali dostępu.

better-auth przed wersją 1.6.11 nie usuwa buforowanych sesji podczas usuwania użytkowników przez endpointy admin, anonymous lub SCIM, gdy skonfigurowano secondaryStorage i storeSessionInDatabase jest ustawione na false. Atakujący mogą ponownie użyć tokenów sesji usuniętych użytkowników, aby utrzymać uwierzytelnienie przez okres do siedmiu dni po usunięciu konta.