Katalog podatności CVE

W MISP wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym tworzenia atrybutów. Uwierzytelniony użytkownik z uprawnieniami do dodawania atrybutów mógł podać identyfikator grupy udostępniania (sharing_group_id) bez wywołania odpowiedniej kontroli dostępu, o ile wartość dystrybucji atrybutu nie była jawnie ustawiona na 4 („sharing group”).

W n8n przed wersjami 2.27.4 i 2.28.1, przy skonfigurowaniu więcej niż jednego zaufanego wystawcy tokenów, tożsamości zewnętrzne były mapowane na konta lokalne wyłącznie na podstawie roszczenia sub (subject) z JWT, ignorując roszczenie iss (issuer). Pozwalało to atakującemu posiadającemu ważny token od jednego zaufanego wystawcy, z sub pasującym do ofiary u innego wystawcy, na uwierzytelnienie się jako ta ofiara.

W n8n przed wersjami 2.27.4 i 2.28.1 funkcja AI Agents nie egzekwowała ograniczenia Allowed HTTP Request Domains skonfigurowanego w poświadczeniach, gdy narzędzie MCP wskazywało na dowolny URL. Umożliwiło to użytkownikowi z poziomem członka i dostępem tylko do używania współdzielonego poświadczenia wysłanie jego sekretu na zewnętrzny serwer kontrolowany przez atakującego.

Wykryto podatność w projekcie aerostackdev aerostack-mcp do wersji 6315dfde7df0a15aaf743f88d91347115e09ba23. Funkcja upload_media w komponencie mcp-whatsapp umożliwia manipulację argumentem media_url, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie.

W manjurulhoque django-job-portal do wersji dfa352f305bba44445ac5dc12e9b2a98c9dcd71f wykryto podatność w funkcji EditEmployeeProfileAPIView pliku accounts/api/views.py endpointu Employee Dashboard. Manipulacja argumentem role prowadzi do nieprawidłowej kontroli dostępu, co umożliwia zdalny atak.

W bibliotece enquirer w wersjach do 2.4.1 odkryto lukę bezpieczeństwa polegającą na niekontrolowanej modyfikacji atrybutów prototypu obiektu poprzez funkcję Enquirer.set w publicznym API pakietu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W produkcie OKRs & Goals firmy Twiser Informatics Technology Consulting, Trade and Education Inc. wykryto podatność na trwałe ataki XSS (Cross-Site Scripting). Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.

Podatność w systemach CPCI85 Central Processing/Communication i SICORE Base (wersje przed V26.20/V26.20.0) wynika z domyślnej konfiguracji wyłączającej wszystkie mechanizmy bezpieczeństwa OPC UA. Umożliwia to atakującemu nieautoryzowany dostęp i przejęcie kontroli nad krytycznymi funkcjami systemu.

Podatność w systemach CPCI85 Central Processing/Communication i SICORE Base (wersje przed V26.20/V26.20.0) dotyczy mechanizmu aktualizacji firmware'u. Błąd w walidacji podpisu umożliwia atakującemu zainstalowanie złośliwego oprogramowania, co prowadzi do trwałego wykonania kodu i przejęcia systemu.

Podatność w systemach CPCI85 Central Processing/Communication i SICORE Base (wersje przed V26.20/V26.20.0) umożliwia uwierzytelnionemu atakującemu wykorzystanie interfejsu debugowania dostępnego przez HTTP do spowodowania awarii procesu webowego, co prowadzi do odmowy usługi (DoS).

Podatność przepełnienia bufora stosu w usłudze agentlink_server oprogramowania Vinchin Backup & Recovery do wersji 9.0.0.86562. Niezautoryzowany zdalny atakujący może nadpisać adres zwrotny, wysyłając spreparowane żądanie z nadmiernie długim polem _listen_uuid, które jest kopiowane bez kontroli granic do bufora o stałej długości za pomocą funkcji strcpy().

Vinchin Backup & Recovery do wersji 9.0.0.86562 zawiera podatność przepełnienia bufora sterty, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu lub uszkodzenia pamięci poprzez wysłanie spreparowanego pakietu TCP z niesprawdzonym polem body_len do usługi agentlink_server. Atakujący może skonstruować złośliwy pakiet, który przekazuje kontrolowaną przez atakującego długość bezpośrednio do funkcji recv(), wywołując przepełnienie sterty o rozmiarze do około 4 GiB, co skutkuje awarią procesu lub potencjalnym uszkodzeniem pamięci.

W macrozheng mall do wersji 1.0.3 wykryto podatność w pliku /returnApply/create komponentu Portal Endpoint. Manipulacja argumentem orderId prowadzi do niekontrolowanego dostępu do zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność polegająca na nieprawidłowej walidacji danych wejściowych w komponencie BigQuery DAO w Google Cloud Apigee (wersje przed 2026-06-12) umożliwia uwierzytelnionemu atakującemu wyciek danych między dzierżawcami. Luka została załatana 12 czerwca 2026 roku po stronie serwerów Apigee.

W bibliotece GNU LibreDWG do wersji 0.13.4 wykryto podatność w funkcji dwg_bmp w pliku src/dwg.c, odpowiedzialnej za obsługę obrazów BMP. Manipulacja danymi wejściowymi prowadzi do przepełnienia bufora sterty (heap-based buffer overflow). Atak wymaga dostępu lokalnego i jest publicznie znany.

Wtyczka Colissimo Officiel dla WooCommerce do wersji 2.9.0 włącznie zawiera lukę umożliwiającą nieautoryzowaną modyfikację danych zamówień. Brakuje w niej sprawdzenia uprawnień (current_user_can()) oraz weryfikacji nonce w funkcji updateShippingMethod(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym na zmianę metody wysyłki, danych punktu odbioru i adresu dostawy dowolnego zamówienia WooCommerce.

Wtyczka Crew HRM dla WordPressa do wersji 1.2.2 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą usuwać, archiwizować, przywracać i duplikować dowolne oferty pracy wraz z powiązanymi danymi, wykorzystując nieprawidłową weryfikację uprawnień i ujawniony nonce.

Wtyczka DHL eCommerce (Benelux) dla WooCommerce w wersji do 2.2.3 zawiera brak kontroli uprawnień i weryfikacji nonce w funkcjach create_label() i delete_label(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym tworzenie i usuwanie etykiet wysyłkowych DHL dla dowolnego zamówienia WooCommerce.

Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa w wersjach do 2.7.4 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na anulowanie dowolnego zamówienia WooCommerce złożonego za pomocą metody płatności CorvusPay. Atak jest możliwy poprzez podanie dowolnego numeru zamówienia do endpointu REST /wp-json/corvuspay/cancel/.

Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 włącznie zawiera podatność umożliwiającą ominięcie płatności. Funkcja `corvuspay_success_handler` rejestruje endpoint REST `POST /wp-json/corvuspay/success/` bez wymaganego uwierzytelnienia, a wynik walidacji podpisu kryptograficznego nie jest sprawdzany warunkowo, co pozwala na oznaczenie dowolnego oczekującego zamówienia jako opłaconego.