Katalog podatności CVE

Wtyczka FormyChat dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) poprzez niewłaściwą neutralizację danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 2.15.3 włącznie.

Wtyczka Advanced Forms dla WordPressa zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.9.3.7 włącznie.

Wtyczka ElementInvader Addons for Elementor do WordPressa zawiera podatność na ataki typu DOM-Based Cross-Site Scripting (XSS). Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych, co pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript.

Podatność SSRF w wtyczce WPJAM Basic umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów sieciowych. Problem dotyczy wersji do 7.0 włącznie.

Wtyczka WPJAM Basic w wersji 7.0 i wcześniejszych zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu lub innych nieautoryzowanych działań.

Wtyczka Themify Builder dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 7.7.4 włącznie.

Wtyczka Jobmonster dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 4.8.5 włącznie.

Wtyczka ChatBot dla WordPressa do wersji 8.3.7 zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu, który będzie wykonywany przy każdym wyświetleniu strony.

Podatność w wiadomości OCPP DataTransfer `ReserveLogin` umożliwia wstrzyknięcie komend systemowych. Manipulacja wartością danych pozwala na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami root.

Stacja ładowania nie wymaga uwierzytelnienia dla komend Bluetooth, co umożliwia nieautoryzowanym urządzeniom wykonywanie działań. Podatność pozwala na wyciek wrażliwych informacji, wymuszenie restartu urządzenia lub przesłanie adresu URL aktualizacji firmware.

W bibliotece waooAI waoowaoo do wersji 0.4.1 wykryto słabość polegającą na nieprawidłowym uwierzytelnianiu w funkcjach getInternalTaskSession, getAuthSession, requireUserAuth, requireProjectAuth i requireProjectAuthLight w pliku src/lib/api-auth.ts. Manipulacja argumentem x-internal-user-id w żądaniu umożliwia zdalne obejście uwierzytelniania. Exploit został opublikowany i może być wykorzystany w atakach.

W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji sub_407220 pliku /usr/sbin/httpd w komponencie renderowania listy DNS. Manipulacja prowadzi do przepełnienia bufora na stosie, co może być wykorzystane zdalnie. Projekt jest zastąpiony przez FreshTomato.

W module rozszerzenia html_to_markdown w misp-modules wykryto obejście ochrony przed SSRF. Adresy IPv4 odwzorowane w IPv6 nie były normalizowane przed sprawdzeniem zakresów zablokowanych, co umożliwiało atak na interfejs pętli zwrotnej, sieć wewnętrzną lub łącza lokalnego.

W komponencie vllm-orchestrator-gateway odkryto podatność polegającą na logowaniu wszystkich nagłówków autoryzacyjnych oraz pełnych treści rozmów do trwałych logów. Dane te mogą zawierać dane osobowe (PII) i sekrety, takie jak tokeny bearer, które stają się dostępne dla każdego użytkownika z uprawnieniami do odczytu logów.

W Shibby Tomato do wersji 1.28.0000 wykryto podatność w funkcji main pliku www/apcupsd/tomatodata.cgi komponentu apcupsd. Manipulacja prowadzi do zapisu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Shibby Tomato do wersji 1.28.0000 w komponencie apcupsd funkcja getupsvar w pliku www/apcupsd/tomatodata.cgi jest podatna na przepełnienie bufora stosu poprzez argument Field. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W urządzeniu Tenda CH22 w wersji 1.0.0.1 odkryto podatność polegającą na przepełnieniu bufora w funkcji formCertListInfo pliku /goform/CertListInfo. Atakujący może zdalnie manipulować argumentem Name, co prowadzi do przepełnienia bufora. Exploit został opublikowany i może być wykorzystany.

W bibliotece Isaiah do wersji 1.36.9 znaleziono podatność w komponencie uwierzytelniania połączeń WebSocket. Nieznana funkcja w pliku app/main.go umożliwia nieprawidłowe uwierzytelnienie, co może być wykorzystane zdalnie. Poprawka oczekuje na akceptację w pull requeście.

W bibliotece will-moss Isaiah do wersji 1.36.9 wykryto brak autoryzacji w funkcji Server.Handle pliku app/server/server/server.go w komponencie Master Websocket Handler. Manipulacja argumentem Agent umożliwia zdalne wykorzystanie podatności bez wymaganej autoryzacji.

Podatność CVE-2026-14165 w Tuleap Enterprise Edition umożliwia ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz. Atakujący może uzyskać dostęp do danych innych użytkowników bez odpowiedniego upoważnienia.