Katalog podatności CVE

Wtyczka WordPress GiveWP przed wersją 4.19.0.1 nie sprawdza uprawnień podczas obsługi zmian adresów darczyńców. Umożliwia to użytkownikom z dostępem do raportów darczyńców (podgląd), ale bez uprawnień do edycji, dodawanie, modyfikowanie lub usuwanie zapisanego adresu dowolnego darczyńcy w witrynie.

Wtyczka WordPress Contact Form by Supsystic w wersji przed 1.8.0 nie oczyszcza i nie escapuje nazwy formularza. Umożliwia to użytkownikom mającym dostęp do edytora formularzy wstrzyknięcie dowolnych skryptów, które wykonują się, gdy inny użytkownik wyświetli formularz. W instalacjach multisite, gdzie administratorzy nie mają uprawnienia unfiltered_html, narusza to granicę uprawnień.

W projekcie YunaiV/zhijiantianya ruoyi-vue-pro do wersji 2026.09 wykryto błąd w funkcji SmsCodeServiceImpl.validateSmsCode0 w pliku /service/sms/SmsCodeServiceImpl.java, dotyczącej weryfikacji kodu SMS. Manipulacja powoduje niewłaściwe ograniczenie nadmiernej liczby prób uwierzytelnienia. Atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a eksploatacja uznawana za trudną; exploit został opublikowany.

Wykryto podatność bezpieczeństwa w onyx-dot-app Onyx do wersji 5.0.0. Dotyczy ona nieznanej funkcji w pliku web/src/app/craft/components/output-panel/PreviewTab.tsx i prowadzi do cross-site scripting (XSS). Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność w Unitree Robotics Unitree Go2 w wersjach do 1.1.13/1.1.14.1/1.1.15.1. Funkcja WebSocketClient.connect w pliku websocket.py komponentu chat_go nieprawidłowo waliduje certyfikaty, co umożliwia atak zdalny o wysokiej złożoności. Producent potwierdził problem (CWE-295).

W phpIPAM do wersji 1.8.3 wykryto podatność w nieokreślonej funkcjonalności pliku upgrade/index.php. Manipulacja argumentem REQUEST_URI prowadzi do cross site scripting (XSS). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

OpenResty lua-resty-dns przed wersją 0.24 zawiera podatność polegającą na niewłaściwej walidacji danych wejściowych w funkcjach parse_section() i _decode_name(), które nie sprawdzają długości rekordów zasobów względem odebranej wiadomości. Atakujący kontrolujący lub podszywający się pod odpytywany serwer nazw może wysłać obcięte nagłówki rekordów lub RDATA, wywołując nieprzechwycone wyjątki Lua w resolver:query(), które przerywają żądania i psują rozwiązywanie nazw.

Ghidra przed wersją 12.2 zawiera podatność polegającą na obcięciu numerycznym w funkcjach PackedDecode::skipAttribute i skipAttributeRemaining w pliku marshal.cc, które przechowują 64-bitowe długości ciągów w zmiennych 32-bitowych. Atakujący może dostarczyć spreparowany strumień packed, taki jak złośliwy plik .sla, aby wstrzyknąć atrybuty do danych wejściowych dekompilatora lub spowodować awarię procesu dekompilatora.

Wtyczka WordPress GeoDirectory przed wersją 2.8.194 nieprawidłowo weryfikuje własność ogłoszeń przesłanych przez wylogowanych użytkowników przed zezwoleniem na ich edycję. Umożliwia to nieuwierzytelnionym atakującym modyfikację, odpublicznienie, dołączanie obrazów lub ponowne przypisanie dowolnego ogłoszenia przesłanego przez gościa, gdy włączone jest publikowanie gości.

Serialize JavaScript serializuje wartości JavaScript do nadzbioru JSON obejmującego wyrażenia regularne i funkcje. Przed wersją 7.1.3 logika ucieczki źródła funkcji nie neutralizuje samego prefiksu zamykającego skrypt, gdy tekst źródłowy funkcji pod wpływem atakującego kończy się dokładnie na tym prefiksie. Ponieważ każde ciało funkcji jest ucieczkowane niezależnie, ogranicznik dostarczony przez otaczające dane wyjściowe serializacji może zakończyć element skryptu HTML, a późniejsza serializowana wartość dostarcza wstrzyknięty znacznik, który staje się aktywnym elementem na stronie. Wykorzystanie wymaga kontroli nad tekstem źródłowym serializowanej funkcji, np. poprzez podszycie się pod toString().

W bibliotece Twisted, w wersjach przed 26.10.0rc1, protokół DNSDatagramProtocol akceptuje odpowiedź UDP DNS na oczekujące zapytanie, jeśli zgadza się 16-bitowy identyfikator transakcji, ale nie weryfikuje źródłowego adresu IP i portu. Umożliwia to atakującemu wstrzyknięcie sfałszowanej odpowiedzi DNS.

Podatność w sterowniku ADXL345 (drivers/sensor/adi/adxl345/adxl345_stream.c) w Zephyr RTOS dotyczy przepełnienia bufora podczas strumieniowania danych z FIFO przez RTIO. Sterownik ogranicza długość raportowanych danych do dostępnego miejsca, ale kolejkuje odczyty magistrali dla wszystkich wpisów FIFO, co przy zbyt małym buforze powoduje zapis do 186 bajtów poza alokację. Dodatkowy błąd braku resetu licznika fifo_total_bytes może przenosić nieaktualny offset zapisu do kolejnej partii danych.

W urządzeniu Tenda F6 w wersji 12.02.01.73 zidentyfikowano słabość w interfejsie zarządzania webowego. Manipulacja argumentem ecos_pw może prowadzić do przesyłania poufnych informacji w postaci jawnej. Atak może być przeprowadzony zdalnie, charakteryzuje się wysoką złożonością, a publiczny exploit jest dostępny.

Fallow to narzędzie do analizy kodu dla TypeScript i JavaScript. Od wersji 2.68.0 do 3.34.0 Fallow podąża za ścieżkami projektów Jest kontrolowanymi przez atakującego poza katalogiem głównym projektu poprzez ścieżki absolutne, segmenty nadrzędne, globy z kropką lub dowiązania symboliczne. W wersji 3.33.1 to samo zachowanie dotyczy również ścieżek test.projects Vitest, ścieżek extends w projektach inline Vitest oraz ścieżek --config skryptów z dowiązaniami symbolicznymi. Fallow parsuje pliki zewnętrzne jako konfigurację testową i wykorzystuje je do przypisywania zależności, plików konfiguracyjnych i źródeł importu JSX, co może zmienić wyniki analizy nieużywanych zależności i plików w CI lub analizie agenta. Zawartość plików zewnętrznych nie jest drukowana ani wysyłana przez sieć.

Luka w egzekwowaniu uprawnień systemu plików w modelu uprawnień Node.js sprawia, że fs.realpathSync() nie wykonuje wymaganych sprawdzeń uprawnień do odczytu. To niekompletna poprawka CVE-2026-21715, która objęła jedynie fs.realpathSync.native(). Kod działający z --permission i ograniczonym --allow-fs-read może nadal używać fs.realpathSync() do sprawdzania istnienia plików, rozwiązywania dowiązań symbolicznych i wyliczania ścieżek poza dozwolonymi katalogami.

Luka w egzekwowaniu uprawnień systemu plików w modelu uprawnień Node.js może przyznać dostęp do ścieżek niezgodnych z regułą wieloznaczną --allow-fs-read lub --allow-fs-write. Gdy żądana ścieżka jest krótsza niż prefiks uprawnienia wieloznacznego, wyszukiwanie w drzewie radix kończy porównywanie wcześniej i uznaje ścieżkę za zgodną — np. --allow-fs-read=/etc/passwd.* zezwala również na odczyt /etc/passwd. Wymaga to, aby uprawnienie wieloznaczne znajdowało się bezpośrednio pod korzeniem drzewa uprawnień.

Luka w API zlib.ZipFile w Node.js może powodować zwracanie bajtów nienależących do żądanego wpisu, gdy walidacja nagłówka lokalnego i centralnego nie powiedzie się. Gdy odczytywane jest zipEntry.modified na archiwum, którego nagłówek lokalny nie zgadza się z katalogiem centralnym, błąd walidacji jest przechwytywany, ale sparsowany nagłówek lokalny pozostaje w pamięci podręcznej bez przesunięcia zawartości — późniejszy odczyt zwraca bajty kontrolowane przez atakującego, a weryfikacja CRC-32 nadal przechodzi. Skaner oparty na Node.js może zatwierdzić inną zawartość niż inna implementacja ZIP wyodrębni z tego samego archiwum.

pghoard, demon kopii zapasowych PostgreSQL, w wersjach przed 2.7.1 loguje informacje o połączeniu do bazy, w tym nazwę użytkownika i hasło, na poziomie debugowania podczas korzystania z .pgpass. Problem został naprawiony w wersji 2.7.1.

Agentfront mcp-from-openapi od wersji 2.2.0 przed 2.9.0 zawiera podatność SSRF pozwalającą obejść denylistę ssrf.blockedHosts za pomocą nazw hostów z końcową kropką. Atakujący kontrolujący URL specyfikacji OpenAPI lub cel przekierowania może dodać kropkę końcową do zablokowanego hosta, aby pobrać treść z hostów zablokowanych przez operatora.

mcp-from-openapi od wersji 2.5.0 przed 2.9.0 zawiera podatność ujawnienia poświadczeń, ponieważ safeFetch() przekazuje nagłówki Authorization i Cookie przy przekierowaniach cross-origin. Atakujący kontrolujący host specyfikacji lub wykorzystujący otwarte przekierowanie może przekierować żądania fromURL() do własnego originu i przechwycić tokeny bearer lub ciasteczka.