Katalog podatności CVE

W Mage AI do wersji 0.9.79 wykryto podatność na atak XSS w komponencie Sign-in Flow, w pliku mage_ai/frontend/components/Sessions/SignForm/index.tsx. Manipulacja argumentem query.redirect_url umożliwia zdalne wykonanie skryptów krzyżowych.

W Jinher OA C6 znaleziono podatność na iniekcję SQL w pliku /C6/JHSoft.Web.ModuleCount/GetFormSn.aspx. Manipulacja argumentem queryID umożliwia zdalny atak. Exploit jest publicznie dostępny, a producent nie odpowiedział.

W aplikacji iAI Lab PDF AI App w wersji 4.21.0 na Androida wykryto podatność polegającą na manipulacji argumentem _display_name w funkcji getExternalCacheDir komponentu chatpdf.pro, co prowadzi do path traversal. Atak wymaga lokalnego dostępu. Exploit został opublikowany i może być wykorzystywany do ataków. Producent nie odpowiedział na zgłoszenie.

W aplikacji vertex-app do wersji 2026.02.12 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w komponencie Log Viewer Endpoint. Atak polega na manipulacji argumentem req.query w pliku app/model/LogMod.js i może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.

Podatność w GL.iNet MT3000 do wersji 4.4.5. Nieznany kod w pliku ovpnclient.sh komponentu OpenVPN Client Import Workflow umożliwia wstrzyknięcie poleceń. Atak zdalny, exploit publiczny. Poprawka w wersji 4.9.0_beta3-1012-0513-1778656146.

Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.

Wtyczka WP Maps dla WordPress do wersji 4.9.4 zawiera podatność na Stored XSS przez parametr 'location_messages'. Atakujący z uprawnieniami administratora (lub niższymi, jeśli nadano odpowiednie uprawnienia) mogą wstrzykiwać skrypty, które wykonają się przy dostępie do strony.

Wtyczka Debug Log Manager dla WordPressa do wersji 2.5.0 umożliwia niezalogowanym atakującym wstrzykiwanie fałszywych wpisów do dziennika debugowania WordPressa. Luka występuje, gdy włączone jest logowanie błędów JavaScript, a nonce jest publicznie dostępny.

Wtyczka MapPress Maps dla WordPress do wersji 2.96.6 zawiera lukę w autoryzacji w REST API. Brak weryfikacji własności map pozwala nieuwierzytelnionym atakującym na odczyt danych map (tytuły, adresy, współrzędne, treść) oraz uwierzytelnionym (od roli Contributor) na modyfikację, usunięcie lub klonowanie dowolnej mapy.

Wtyczka Klamra Paycal for Aspaclaria do WordPress do wersji 1.1.4 zawiera podatność na Insecure Direct Object Reference (IDOR) przez parametr 'invoice_id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą pobierać faktury innych klientów, enumerując sekwencyjne ID postów.

Wtyczka SEO Plugin by Squirrly SEO dla WordPressa do wersji 12.4.16 zawiera podatność na ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wywoływać uprzywilejowane operacje API Squirrly cloud, takie jak cofnięcie integracji z Google Search Console i Google Analytics, które normalnie są zarezerwowane dla administratorów z uprawnieniem sq_manage_settings.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads do WordPress do wersji 2.8.15 zawiera podatność na Reflected Cross-Site Scripting przez parametry URL w trybie iframe. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolny skrypt, jeśli uda im się nakłonić użytkownika do kliknięcia w link, a tryb iframe jest włączony dla co najmniej jednego bloku reklamowego.

Wtyczka Smart Slider 3 dla WordPressa jest podatna na przechodzenie po katalogach (Directory Traversal) we wszystkich wersjach do 3.5.1.36 włącznie, poprzez funkcję replaceHTMLImage. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora lub wyższym odczytanie zawartości dowolnych plików na serwerze, które mogą zawierać poufne informacje.

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa do wersji 1.3.9.7 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienia 'drag_n_drop_text' i 'drag_n_drop_browse_text'. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka OptinCraft dla WordPressa do wersji 1.2.0 jest podatna na ogólną iniekcję SQL przez parametr 'order_by'. Luka wymaga uwierzytelnienia z uprawnieniami administratora i umożliwia dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Wtyczka LearnPress dla WordPressa do wersji 4.3.6 włącznie ujawnia wrażliwe dane przez parametr 'return_type'. Niezalogowany atakujący może wyodrębnić hasła do chronionych kursów oraz treść, autora i nazwę nieopublikowanych wpisów.

Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.

Wtyczka Click to Chat – WA Widget dla WordPress do wersji 4.38 zawiera podatność na Stored Cross-Site Scripting (XSS) w shortcode [chat] przez parametr 'num'. Niewystarczające kodowanie powoduje, że encje HTML są dekodowane w atrybutach zdarzeń, co pozwala na wykonanie dowolnego kodu JavaScript. Atak wymaga dostępu na poziomie Contributor lub wyższym.

Wtyczka WPForms dla WordPress do wersji 1.10.0.1 nie weryfikuje poprawnie autentyczności webhooków PayPal Commerce. Atakujący bez uwierzytelnienia może sfałszować zdarzenia webhook i modyfikować rekordy płatności, np. reaktywować anulowaną subskrypcję.

Wtyczka Essential Addons for Elementor dla WordPressa w wersjach do 6.6.4 włącznie zawiera podatność na ujawnienie informacji poprzez funkcję ajax_load_more. Niezautoryzowani atakujący mogą wyodrębnić dane z chronionych hasłem, prywatnych lub szkicowych postów.