Katalog podatności CVE

Wtyczka Wallet System for WooCommerce w wersji 2.7.6 i starszych zawiera podatność polegającą na nieprawidłowej kontroli dostępu dla subskrybentów. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie operacji, do których nie powinni mieć uprawnień.

W systemie BEAR w wersji 1.1.8 i starszych występuje podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony bez konieczności logowania.

phpUploader przed wersją 2.0.2 zawiera nieuwierzytelnioną podatność na ujawnienie informacji, która pozwala zdalnym atakującym na dostęp do pełnej zawartości tabeli bazy danych przesłanych plików poprzez odwiedzenie dowolnej strony aplikacji. Model indeksu wykonuje nieograniczone zapytanie SELECT i osadza kompletny wynik zakodowany w JSON w bloku skryptu inline, ujawniając adresy IP przesyłającego, skróty kluczy Argon2ID, wewnętrzne nazwy plików oraz odciski palców SHA-256.

Aplikacja towarzysząca Home Assistant na iOS ignoruje listę dozwolonych SSID dla sieci wewnętrznych. Gdy nie znajdzie innego adresu URL, używa wewnętrznego, co może ujawnić token użytkownika w niezabezpieczonej sieci.

Podatność w narzędziu Claude Code (wersje od 2.1.38 do 2.1.163) umożliwia atak przez manipulację worktree, w tym tworzenie worktree o nazwie ".git" i nawigację poza sandbox. Atakujący może nadpisać pliki w katalogu domowym użytkownika (np. .zshenv), co prowadzi do wykonania kodu poza ograniczeniami sandboxa.

Wtyczka Helix3 dla Joomla! udostępnia zadanie obsługi AJAX, które pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików, zapisywanie dowolnych plików JSON oraz aktualizację parametrów szablonu.

W narzędziach getfattr i setfattr pakietu attr przed wersją 2.6.0 wykryto podatność na atak przez dowiązanie symboliczne. Lokalny atakujący może podmienić składnik ścieżki na dowiązanie symboliczne podczas przechodzenia przez hierarchię katalogów, co pozwala na eskalację uprawnień.

Podatność w bibliotece ACL (Access Control List) przed wersją 2.4.0 umożliwia lokalnym atakującym eskalację uprawnień poprzez podmianę dowolnego komponentu ścieżki na dowiązanie symboliczne. Funkcje libacl operujące na ścieżkach są podatne na atak typu symlink traversal.

FrontAccounting przed wersją 2.4.20 zawiera podatność na wstrzykiwanie SQL w funkcji get_gl_transactions(), gdzie parametr filter_type jest bezpośrednio konkatenowany do klauzuli SQL IN() bez parametryzacji. Atakujący z uprawnieniami SA_GLANALYTIC mogą wstrzyknąć dowolny SQL, dostarczając zamykający nawias i złośliwe warunki, aby wyodrębnić poufne dane wpisów księgowych poprzez ślepe wstrzykiwanie SQL oparte na różnicach w rozmiarze odpowiedzi.

FrontAccounting przed wersją 2.4.20 zawiera podatność na wstrzykiwanie SQL w module raportu audytu. Uwierzytelnieni atakujący z uprawnieniami SA_GLANALYTIC mogą wstrzykiwać złośliwy kod do parametrów POST PARAM_2 i PARAM_3, wykonując dowolne zapytania SQL.

W FrontAccounting przed wersją 2.4.20 występuje podatność na wstrzykiwanie SQL w module raportu wyciągu bankowego. Uwierzytelniony atakujący może wstrzyknąć złośliwe zapytania UNION SELECT do parametru PARAM_0 POST, co pozwala na wyodrębnienie dowolnych danych z bazy, w tym nazw użytkowników, skrótów haseł i adresów e-mail, które są renderowane w raporcie PDF.

Podatność path traversal w FrontAccounting przed wersją 2.4.20 pozwala uwierzytelnionym atakującym na zdalne wykonanie kodu poprzez przesyłanie plików z sekwencjami nawigacji w parametrze unique_name. Atakujący mogą zapisać plik PHP poza katalogiem załączników do katalogu głównego serwera WWW, co umożliwia wykonanie dowolnego kodu.

fast-uri w wersjach 2.3.1 do 3.1.2 oraz 4.0.0 nie kanonizuje nazw hostów Unicode (IDN) w adresach URL rodziny HTTP. Powoduje to rozbieżności między fast-uri a natywnym parserem URL Node.js, co może prowadzić do obejścia polityk opartych na hostach.

W systemie SourceCodester Inventory Management System 1.0 wykryto podatność w pliku /api/users_handler.php w komponencie User Registration Endpoint. Manipulacja argumentem role prowadzi do nieprawidłowej kontroli dostępu, co umożliwia zdalne wykorzystanie luki.

W systemie SourceCodester Class and Exam Timetabling System 1.0 wykryto podatność SQL injection w pliku /preview3.php. Atakujący może zdalnie manipulować argumentem course_year_section, co prowadzi do wstrzyknięcia kodu SQL. Exploit jest publicznie dostępny.

W systemie SourceCodester Class and Exam Timetabling System 1.0 w pliku /edit_class1.php występuje podatność na wstrzyknięcie SQL poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Podatność w SzafirHost umożliwia atakującemu wstrzyknięcie złośliwej biblioteki natywnej do archiwum JAR, które jest podpisywane i weryfikowane. Weryfikacja podpisu używa parsera JarFile (czytającego Central Directory), podczas gdy ekstrakcja używa JarInputStream (czytającego sekwencyjnie z lokalnych nagłówków plików). Atakujący może dodać wpis z biblioteką między ostatnim legalnym wpisem a Central Directory, który nie jest widziany przez weryfikatora podpisu, ale jest odczytywany i zapisywany przez ekstraktor, co prowadzi do zdalnego wykonania kodu.

W rozszerzeniu vscode-java dla Visual Studio Code wykryto podatność polegającą na nieprawidłowym ufaniu całej treści Markdown w dymkach JavaDoc. Złośliwy plik Java może zawierać ukryte polecenia, które po kliknięciu przez użytkownika specjalnie spreparowanego linku w dymce JavaDoc umożliwiają atakującemu wykonanie dowolnych poleceń VS Code.

W narzędziu xmlcatalog biblioteki libxml2 wykryto wiele przepełnień bufora na stosie w trybie --shell. Funkcja usershell() przetwarza dane wejściowe użytkownika przy użyciu buforów o stałym rozmiarze bez odpowiedniego sprawdzania granic. Dostarczenie zbyt długiego wiersza wejściowego może przepełnić bufory wewnętrzne (command, arg i argv) podczas parsowania danych.

GNU gzip zawiera podatność na przepełnienie bufora globalnego w logice dekompresji LZH, spowodowaną niewłaściwym ponownym użyciem współdzielonego stanu globalnego między różnymi formatami dekompresji w ramach jednego wykonania. Poprzez dekompresję specjalnie spreparowanego pliku LZW, a następnie LZH w jednym poleceniu gzip -d, atakujący może zatruć współdzielony stan i wywołać odczyt poza zakresem w dekoderze LZH.