CVE-2025-13793
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wykryto słabość w projekcie winston-dsouza Ecommerce-Website do konkretnego commitu. Nieznana funkcjonalność w pliku /includes/header_menu.php komponentu GET Parameter Handler pozwala na manipulację argumentem Error, co prowadzi do podatności typu Cross-Site Scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.
Ocena ryzyka
Podatność XSS może umożliwić atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych szkód.
Rekomendacja
Ze względu na brak informacji o wersji z poprawką, zaleca się monitorowanie repozytorium projektu i zastosowanie poprawek po ich udostępnieniu. Tymczasowo należy ograniczyć zaufanie do danych wejściowych w tym pliku.
Powiązane podatności
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
- CVE-2026-120844Krytyczne
Wtyczka miniOrange OAuth Single Sign On – SSO (OAuth Client) do wersji 7.1.3 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień.
- CVE-2026-119516Krytyczne
Wtyczka Radius Booking — Booking Calendar for Appointments & Services do wersji 1.0.20 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu.
- CVE-2026-118423Krytyczne
Wtyczka WordPress WP Libre Form w wersji 1.5.0.1 nie weryfikuje typu plików przesyłanych przez formularze, co pozwala nieuwierzytelnionym atakującym przesłać pliki PHP do lokalizacji dostępnej przez sieć i je wykonać, prowadząc do zdalnego wykonania kodu.
- CVE-2026-63774Krytyczne
W projektancie raportów PowerSYSTEM Center występuje niewystarczająca walidacja danych wejściowych. Uwierzytelniony użytkownik może dzięki temu wykonywać nieautoryzowane polecenia SQL.
- CVE-2026-63017Krytyczne
W PowerSYSTEM Center występuje nieprawidłowa kontrola autoryzacji. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do zasobów zarezerwowanych normalnie dla administratorów.
- CVE-2026-77596Krytyczne
W Kubeflow Pipelines przed wersją 2.18.0 punkty końcowe HTTP do przesyłania pipeline'ów i ich wersji nie wykonują kontroli SubjectAccessReview, gdy docelowa przestrzeń nazw jest pusta, a REQUIRE_NAMESPACE_FOR_PIPELINES domyślnie wynosi false. Użytkownik o niskich uprawnieniach może tworzyć współdzielone pipeline'y lub wstrzykiwać własne wersje do istniejących pipeline'ów bez wymaganych uprawnień zapisu. Jeśli serwer API jest bezpośrednio osiągalny bez proxy uwierzytelniającego, ten sam obejściowy mechanizm może wykorzystać nieuwierzytelniony wywołujący.
- CVE-2026-119757Krytyczne
BTCPay Server przed 2.4.2 (w tym wersje release candidate 2.4.2) zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym zdalnym atakującym pobrać pliki poświadczeń .macaroon dla węzła LND. Ujawniony macaroon umożliwia pełną kontrolę nad węzłem LND, w tym przenoszenie środków, co prowadzi do kradzieży funduszy.
- CVE-2026-111494Krytyczne
Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.
- CVE-2026-111490Krytyczne
W API MatchPoint występuje podatność IDOR polegająca na poleganiu na nagłówku HTTP `actingasuser` bez weryfikacji uprawnień żądającego do wskazanego użytkownika. Manipulacja sekwencyjnymi identyfikatorami umożliwia dostęp do danych osobowych, bankowych i finansowych, prywatnych wiadomości oraz kodów QR do dostępu fizycznego, a także modyfikację kont innych osób, zmianę haseł, podszywanie się i transfer wirtualnych sald.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in winston-dsouza Ecommerce-Website up to 87734c043269baac0b4cfe9664784462138b1b2e. Affected by this issue is some unknown functionality of the file /includes/header_menu.php of the component GET Parameter Handler. Executing manipulation of the argument Error can lead to cross site scripting. The attack can be executed remotely. The exploit has been made available to the public and could be exploited. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS