Katalog podatności CVE

WpStream w wersjach poniżej 4.11.2 ma podatność umożliwiającą subskrybentom przesyłanie dowolnych plików.

Wersje Booking Activities do 1.16.48.1 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.

Wersje silnika poniżej 1.4.107 mają problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do zasobów.

W wersjach JupiterX Core <= 4.14.1 występuje podatność na Cross Site Scripting (XSS) dla subskrybentów.

W wersjach Download Monitor do 5.1.9 występuje podatność, która pozwala na pobieranie dowolnych plików przez nieautoryzowanych użytkowników.

W Meta Box, frameworku pól niestandardowych WordPressa, występuje podatność umożliwiająca usunięcie dowolnego pliku przez osobę trzecią w wersjach do 5.11.1.

Wtyczka WP Google Review Slider w wersjach do 18.0 zawiera podatność na nieautoryzowany atak Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.

Wtyczka Rank Math SEO dla WordPressa (do wersji 1.0.271) zawiera lukę braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowanym użytkownikom dostęp do funkcji lub danych, do których nie powinni mieć dostępu.

W wersjach Essential Addons for Elementor poniżej 6.6.0 występuje nieautoryzowany błąd kontroli dostępu.

W wersjach Bookify do 1.1.1 występuje problem z kontrolą dostępu, który może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.

Wersje bunny.net do 2.3.6 zawierają lukę w kontroli dostępu, która może pozwolić subskrybentom na nieautoryzowany dostęp do zasobów.

Wersje PopAd do 1.0.4 zawierają podatność typu Server Side Request Forgery (SSRF), która może być wykorzystana przez atakującego do wysyłania nieautoryzowanych żądań z serwera.

W GStreamerze zidentyfikowano wiele podatności związanych z odczytem poza granicami bufora w elemencie pcapparse. Złośliwe rekordy PCAP mogą powodować odczyty poza granicami bufora podczas analizy nagłówków IPv4/TCP.

W GStreamer, w parserze kodeka AV1 w pakiecie gst-plugins-bad, znaleziono podatność na odmowę usługi. Funkcja gst_av1_parser_parse_tile_list_obu() przekazuje liczbę bajtów do API czytnika bitów, które oczekuje liczby bitów, co powoduje desynchronizację parsera. Zdalny atakujący może nakłonić użytkownika do otwarcia specjalnie spreparowanego pliku AV1, wywołując asercję i crash aplikacji.

W Nginx Proxy Manager v2.14.0 występuje nieprawidłowa kontrola dostępu w punkcie pobierania certyfikatów 'Let's Encrypt', co pozwala uwierzytelnionym atakującym na uzyskanie prywatnych kluczy TLS za pomocą spreparowanego żądania GET.

W podatności XSS w Deck9 Input v2.0.1, atakujący mogą wykonywać dowolne skrypty webowe lub HTML za pomocą odpowiednio przygotowanego ładunku.

Discuz! X5.0 w wersjach od 20260320 do 20260610 zawiera podatność na obejście CAPTCHA, która pozwala nieautoryzowanym zdalnym atakującym na pokonanie kontroli wyzwań poprzez wykorzystanie ograniczonej złożoności i przewidywalnych zestawów znaków w generowanych obrazach CAPTCHA.

Wersja v0.54.0 oprogramowania Datadog, Inc Vector zawiera problem w punkcie końcowym /util/http/prelude.rs, który umożliwia atakującym wywołanie Denial of Service (DoS) poprzez spreparowane żądanie lub ładunek.

Ruoyi w wersji 4.8.2 jest podatny na atak Cross Site Scripting (XSS) w interfejsie /system/notice/add.

W urządzeniu Boyleep K11 z firmwarem y108 w wersji 2.3.0.11291 występuje problem, który pozwala atakującemu w bliskiej odległości na wykonanie dowolnego kodu za pomocą funkcji testowej fabryki.