Katalog podatności CVE

W AdminNeo (narzędziu do zarządzania bazami danych w PHP) w wersjach 4.6.2–5.4.x nieuwierzytelniony endpoint ?script=version przyjmuje dane POST bez walidacji pochodzenia, CSRF i typu parametrów. Parametr version[] staje się tablicą PHP, którą bootstrap.inc.php serializuje do współdzielonego cache adminneo.version, a design.inc.php przekazuje tę wartość do cookie() i rawurlencode(), powodując TypeError. Atakujący może wywołać HTTP 500 dla wszystkich użytkowników na 24 godziny lub do usunięcia zatrutego cache.

Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność umożliwiającą użytkownikowi z rolą Contributor podniesienie uprawnień. Może to pozwolić na uzyskanie dostępu do funkcji zastrzeżonych dla wyższych ról.

Wtyczka Booking and Rental Manager w wersjach do 2.8.2 zawiera podatność typu Broken Access Control umożliwiającą użytkownikowi z rolą Subscriber wykonanie nieautoryzowanych działań. Może to prowadzić do naruszenia kontroli dostępu do funkcji wtyczki.

Wtyczka GIFTiT – Free Gifts for WooCommerce w wersjach do 4.5 zawiera podatność typu Basic XSS wynikającą z niewłaściwej neutralizacji tagów HTML powiązanych ze skryptami. Może to umożliwić wstrzyknięcie kodu do strony.

Wtyczka Fast Velocity Minify w wersjach do 3.5.7 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

W OpenAM przed wersją 16.1.1 moduł uwierzytelniania RADIUS otwiera niepołączony socket datagramowy i ufa pierwszemu datagramowi UDP odebranemu na porcie źródłowym klienta. Ścieżka odbioru nie weryfikuje źródłowego IP i portu, nie dopasowuje identyfikatora odpowiedzi do żądania ani nie sprawdza Response Authenticator (RFC 2865); Message-Authenticator (RFC 2869) nie jest wysyłany ani wymagany. Każdy pakiet inny niż Reject/Challenge jest traktowany jako sukces, więc atakujący może wyścignąć prawdziwy serwer lub rozsyłać sfałszowane Access-Accept i uzyskać sesję dla dowolnej nazwy użytkownika mapowanej na RADIUS bez znajomości wspólnego sekretu.

Wtyczka WordPress BA Book Everything w wersjach do 1.8.33 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka Ultimate Addons for Elementor - Lite w wersjach do 2.9.5 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka WordPress FunnelKit Automations (wp-marketing-automations) do wersji 3.8.6.1 zawiera podatność deserializacji niezaufanych danych, umożliwiającą wstrzyknięcie obiektu. Może to prowadzić do wykonania niebezpiecznych operacji przez atakującego.

Wtyczka WordPress WP EasyPay w wersjach do 4.5.4 zawiera podatność Path Traversal, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem.

Wtyczka WordPress Transliterator w wersjach do 2.5.13 zawiera podatność na wstrzyknięcie SQL (SQL Injection), którą można wykorzystać bez uwierzytelnienia.

Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka User Registration w wersjach do 5.3.0 zawiera podatność typu Cross Site Scripting (XSS) umożliwiającą użytkownikowi z rolą Subscriber wstrzyknięcie złośliwego skryptu. Może to prowadzić do wykonania kodu w przeglądarce innych użytkowników.

Nezha w wersjach od 2.0.0 do przed 2.4.0 zawiera podatność dereferencji wskaźnika NULL w ServiceSentinel.loadTodayStats. Uwierzytelniony użytkownik może usunąć własną usługę przez POST /api/v1/batch-delete/service, pozostawiając osierocone wiersze service_histories, które powodują awarię panelu (bez TSDB) przy następnym uruchomieniu.

NodeBB w wersjach od 1.18.0 do 4.16.5 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym odwiedzającym działać na innych kontach poprzez podanie uid podczas POST /register. Atakujący może przesłać pusty adres e-mail na stronie /register/complete, aby wyczyścić adres e-mail i stan potwierdzenia ofiary oraz unieważnić wszystkie jej sesje.

W parserze napisów MicroDVD w gst-plugins-base (GStreamer) występuje luka polegająca na dereferencji wskaźnika NULL. Przy przetwarzaniu specjalnie spreparowanego pliku napisów MicroDVD (.sub) aplikacja może ulec awarii podczas otwierania lub odtwarzania multimediów.

W GStreamer wykryto błąd przepełnienia liczb całkowitych w parserze liczb zmiennej długości LEB128 dla AV1. Złośliwie spreparowany strumień AV1 z nieprawidłową wartością LEB128 może spowodować przepełnienie i użycie błędnych długości, prowadząc do awarii aplikacji.

W parserze wideo H.264 w gst-plugins-bad podczas przetwarzania specjalnie spreparowanego pliku wideo lub strumienia sieciowego z nieprawidłowymi danymi Multiview (MVC) Sequence Parameter Set parser może odwołać się do wskaźnika NULL podczas czyszczenia częściowo przydzielonych struktur wewnętrznych po błędzie parsowania. Może to spowodować awarię aplikacji korzystającej z GStreamera, prowadząc do odmowy usługi.

Wada w parserze wideo H.265 w GStreamer (gst-plugins-bad). Podczas przetwarzania specjalnie spreparowanego strumienia bitowego H.265 zawierającego rozszerzenie Screen Content Coding (SCC) z określonymi ustawieniami inicjalizatora predyktora palety, niedomiar liczby całkowitej w obliczeniu górnej granicy pozwala parserowi zaakceptować wartość spoza zakresu dla liczby wpisów predyktora palety, co powoduje zapis poza końcem tablicy o stałym rozmiarze i prowadzi do uszkodzenia pamięci oraz awarii aplikacji.