Katalog podatności CVE

Wtyczka Organization chart firmy WpDevArt do wersji 1.7.5 jest podatna na ataki CSRF (Cross-Site Request Forgery). Atakujący może nakłonić uwierzytelnionego administratora do wykonania niechcianych działań.

Wtyczka Export WP Page to Static HTML/CSS dla WordPressa jest podatna na atak CSRF (Cross-Site Request Forgery) w wersjach do 6.0.0 włącznie. Atakujący może nakłonić administratora do wykonania niechcianych działań.

Brak autoryzacji we wtyczce QR Redirector umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.0.3.

W projekcie Dromara lamp-cloud do wersji 5.6.2 wykryto podatność na iniekcję szablonu w komponencie Message Template Handler. Funkcja GroovyClassLoader.parseClass nie neutralizuje specjalnych elementów w argumencie DefMsgTemplate.content, co pozwala na zdalne wykonanie kodu. Exploit jest publicznie dostępny.

Podatność deserializacji w funkcji Fastjson.parseObject w komponencie Fastjson AutoType REST API w tcc-transaction do wersji 2.1.0. Atak może być przeprowadzony zdalnie.

W SourceCodester Student Grades Management System 1.0 wykryto lukę CSRF. Nieznana część systemu umożliwia atak CSRF, który może być wykonany zdalnie. Exploit został opublikowany i może być wykorzystany w atakach.

W systemie Student Grades Management System 1.0 firmy SourceCodester występuje podatność na nieautoryzowany dostęp w funkcji getClassroomStudents/removeStudentFromClassroom pliku classroom.php. Manipulacja argumentem classroom_id prowadzi do naruszenia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Roundcube Webmail 1.6.x przed 1.6.16 i 1.7.x przed 1.7.1 niesanitowane pole tematu w przywracanej wersji roboczej może prowadzić do trwałego XSS/HTML/CSS na współdzielonych skrzynkach pocztowych.

W Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 funkcja blokowania zdalnych obrazów może zostać ominięta poprzez spreparowaną wartość CSS var() w wiadomości e-mail, co może prowadzić do ujawnienia informacji lub ominięcia kontroli dostępu.

Podatność w Roundcube Webmail w wersjach 1.6.x między 1.6.14 a 1.6.16 oraz 1.7.x przed 1.7.1. Blokowanie zdalnych obrazów nie działało dla URL-i wskazujących na lokalne/prywatne cele, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień przez wiadomość HTML.

Brak autoryzacji we wtyczce GamiPress umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wersji od n/a do 7.6.3.

System Student Grades Management System 1.0 od SourceCodester ma podatność w pliku grades.php, gdzie manipulacja argumentem student_id prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Podatność path traversal w funkcjach getFileContent/uploadCoverFile/generateImage/generateVideo w pliku src/api.ts w jimeng-mcp 1.10.0. Manipulacja argumentem filePath umożliwia dostęp do plików poza katalogiem aplikacji.

Podatność path traversal w funkcjach download_markdown/list_downloaded_files/create_subdirectory w pliku src/index.ts w markdown-downloader. Manipulacja może prowadzić do dostępu do plików poza katalogiem aplikacji.

Podatność SQL Injection w roli Access Manager. Atakujący może wstrzyknąć złośliwe zapytania SQL.

Podatność path traversal w funkcji handleInitializeMemoryBank w pliku src/index.ts w cline-mcp-memory-bank. Manipulacja argumentem projectPath umożliwia dostęp do plików poza katalogiem aplikacji.

debugmcp mcp-debugger do wersji 0.20.0 zawiera podatność na path traversal w funkcji handleGetSourceContext w pliku src/server.ts. Atakujący może manipulować ścieżkami, co umożliwia zdalny odczyt plików poza dozwolonym katalogiem.

Platforma Tiandy Easy7 Integrated Management Platform w wersji 7.17.0 zawiera podatność w pliku /rest/user/updateUserPassword endpointu API. Manipulacja może prowadzić do słabego odzyskiwania hasła. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.

Apache Syncope w wersjach 3.0 do 3.0.16, 4.0 do 4.0.5 oraz 4.1.0 zawiera podatność na ujawnienie wrażliwych informacji poprzez złośliwe wyrażenia JEXL w Derived Schemas. Administrator z odpowiednimi uprawnieniami może uzyskać dostęp do danych wrażliwych użytkowników.

Podatność w YunaiV yudao-cloud 2026.03. Funkcja IotDataSinkHttpConfig w pliku /admin-api/iot/data-sink/create komponentu Admin API Endpoint umożliwia fałszowanie żądań po stronie serwera (SSRF). Atak zdalny, exploit publicznie dostępny.