Katalog podatności CVE

Wtyczka VikRentCar dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'poplink' w wersjach do 1.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagany jest jedynie nonce WordPressa (vikwp_nonce), który wtyczka udostępnia nieuwierzytelnionym odwiedzającym na publicznej stronie potwierdzenia rezerwacji.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to wcześniej aktywnej licencji Pro z włączonym buforowaniem REST, która stała się nieaktywna, ale buforowanie stron Disk Enhanced pozostaje skonfigurowane, oraz atakujący musi mieć wcześniej zatwierdzoną tożsamość komentatora.

Wtyczka PDF Invoices & Packing Slips for WooCommerce jest podatna na przechowywany XSS poprzez parametry 'billing_address.first_name / last_name / company, customer_note' w wersjach do 5.16.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to niekompletna poprawka dla CVE-2026-92244: lista dozwolonych wp_kses() wprowadzona w 5.16.2 blokuje surowe tagi, ale jest omijana przez ładunki zakodowane encjami (np. <img onerror=…>), które nie zawierają literalnych nawiasów kątowych i są przepuszczane bez modyfikacji przed końcowym dekodowaniem.

Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.

WordPress Core w wersjach 4.7–7.1.3 jest podatny na zdalne wykonanie kodu (RCE) z powodu przewidywalnych, dostępnych przez sieć ścieżek staging używanych podczas pełnych aktualizacji pakietu rdzenia. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze w oknie aktualizacji.

Wtyczka WordPress Mapster WP Maps w wersji przed 2.0.6 nie wykonuje żadnej kontroli autoryzacji na trasie REST API zapisującej dane wpisów. Umożliwia to nieuwierzytelnionym atakującym nadpisanie tytułu dowolnych wpisów, tworzenie dowolnych opublikowanych wpisów oraz nadpisanie zapisanych ustawień wtyczki.

Wtyczka WordPress Security Optimizer w wersji przed 1.6.9 nie ogranicza liczby kodów uwierzytelniania dwuskładnikowego, które można przesłać dla oczekującego logowania. Umożliwia to atakującemu znającemu hasło użytkownika brute force drugiego składnika i przejęcie konta.

Wtyczka WordPress Bulk Media Register w wersji przed 2.01 nieprawidłowo waliduje ścieżkę podaną przez użytkownika przed przeniesieniem pliku na serwerze. Umożliwia to użytkownikom z rolą autora przenoszenie lub zmianę nazw dowolnych plików, w tym poza katalogiem głównym WordPress, co może obejść kontrolę dostępu na poziomie katalogów i ujawnić chronione pliki.

Wtyczka PPWP – Password Protect Pages dla WordPressa w wersjach do 1.9.26 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Ninja Forms dla WordPressa w wersjach do 3.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'formData.extra' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Meow Lightbox dla WordPressa w wersjach do 5.6.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'post_content (bbPress reply body)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Podatność typu command injection w komponencie Orchestrator produktu SoftIron HyperCloud pozwala uwierzytelnionemu użytkownikowi z dostępem do płaszczyzny zarządzania na wykonanie dowolnych poleceń systemu operacyjnego na hostach hiperwizora jako uprzywilejowany użytkownik orkiestracji. Treść szablonu maszyny wirtualnej kontrolowana przez atakującego (np. pole VM DESCRIPTION) jest przekazywana do hostów przez here-document powłoki, którego terminator nie jest cytowany, co umożliwia ekspansję powłoki i wstrzyknięcie terminatora here-document podczas operacji cyklu życia maszyny wirtualnej, takich jak wdrożenie, migracja i konfiguracja sieci. Problem dotyczy wersji od 1.0 do 2.6.17 i został naprawiony w 2.6.18.

Moduł File Force Download dla Drupal 7 w wersjach 7.1.0–7.1.2 zwracał nagłówki Content-Disposition bez sprawdzania uprawnień dla plików spoza schematu private. Nieuwierzytelniony użytkownik mógł pobrać pliki ze schematu temporary:// lub z innych stream wrapperów, dodając parametr download=1 do adresu URL.

W Shopify App (silnik Rails) od wersji 22.1.0 do 23.0.3 kontrolery uwierzytelniane przez token-exchange mogą ujawniać kontekst shop pochodzący z żądania zamiast tożsamości z zweryfikowanego tokenu ID Shopify lub aktywnej sesji. current_shopify_domain może rozwiązać się do sanityzowanego parametru zapytania shop, przez co żądanie uwierzytelnione dla jednego sklepu może być traktowane jako dotyczące innego sklepu.

W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.

W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.

W OpenSearch SQL w linii 2.x od 2.8.0.0 do 2.19.6.0 oraz w linii 3.x przed 3.7.0.0 zdalny uwierzytelniony użytkownik z podstawowymi uprawnieniami odczytu/wyszukiwania może podać spreparowany parametr cursor do endpointu plugins/sql i wywołać niebezpieczną deserializację niezaufanych danych, prowadzącą do wykonania dowolnego kodu na serwerze.

W TAKO AI Agent for Okta przed wersją 3.0.1-beta każdy uwierzytelniony użytkownik z ważnym ciasteczkiem fctr_session może przesłać dowolny kod Pythona w polu script_code endpointu POST /api/react/execute-script bez uprawnień administratora. Kod jest zapisywany z skip_discovery=True, omija walidację validate_generated_code (np. przez dynamiczne łańcuchy getattr przez __builtins__) i jest wykonywany przez asyncio.create_subprocess_exec() jako użytkownik procesu, domyślnie root w kontenerze.

W Refitter przed wersją 2.1.2 nazwa parametru nagłówka w parameters[].name z in: header jest emitowana dosłownie do atrybutu [Header("<name>")] w Refit bez escapowania cudzysłowów. Spreparowany opis OpenAPI może przejść domyślną walidację bez --skip-validation i wyłamać się z pozycji listy parametrów, generując poprawny C# z klasą pliku i metodą [ModuleInitializer], która wykonuje kod atakującego przy załadowaniu skompilowanego zestawu.

Narzędzie Refitter przed wersją 2.1.2 wstawia klucze obiektu `paths` z OpenAPI bezpośrednio do atrybutów tras Refit, bez escapowania cudzysłowów. Złośliwie spreparowana ścieżka może zamknąć atrybut, interfejs i przestrzeń nazw oraz wstrzyknąć klasę z metodą `[ModuleInitializer]`, która wykonuje kod atakującego przy załadowaniu wygenerowanego zestawu. Podatność naprawiono w wersji 2.1.2.