Katalog podatności CVE

W systemie Kiamo przed wersją 8.4 wykryto podatność na trwały atak XSS (stored cross-site scripting). Wynika ona z nieprawidłowego kodowania danych wejściowych użytkownika w interfejsach administracyjnych. Uwierzytelniony użytkownik administracyjny może wstrzyknąć dowolny kod JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników przeglądających dotknięte strony.

W GL.iNet GL-RM1, GL-RM10, GL-RM10RC i GL-RM1PE 1.8.1 wykryto lukę w zabezpieczeniach w nieznanej funkcji komponentu Factory Reset Handler. Manipulacja prowadzi do nieprawidłowego uwierzytelniania; atak można zainicjować zdalnie, choć jego złożoność jest wysoka, a wykorzystanie trudne.

W urządzeniach SonicWall SMA1000 występuje nieprawidłowe przetwarzanie kodowania Unicode, co pozwala zdalnemu uwierzytelnionemu administratorowi SSLVPN na obejście uwierzytelniania TOTP w AMC.

W LIBPNG od wersji 1.0.9 do przed 1.6.57 przekazanie wskaźnika uzyskanego z png_get_PLTE, png_get_tRNS lub png_get_hIST z powrotem do odpowiedniego settera na tej samej parze png_struct/png_info powoduje, że setter czyta ze zwolnionej pamięci i kopiuje jej zawartość do bufora zastępczego. Setter zwalnia wewnętrzny bufor przed skopiowaniem ze wskaźnika dostarczonego przez wywołującego, który teraz wskazuje na zwolniony obszar. Zwolniony region może zawierać nieaktualne dane (powodując ciche uszkodzenie metadanych chunk) lub dane z późniejszych alokacji sterty (wyciekając niepowiązane zawartości sterty do struktury chunk). Podatność naprawiono w wersji 1.6.57.

W phpBB v3.3.15 występuje podatność Cross-Site Request Forgery (CSRF) w funkcjonalności zarządzania ikonami w Panelu Administracyjnym. Lokalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.

W rrweb-snapshot przed wersją v2.0.0-alpha.18 występuje podatność typu cross-site scripting (XSS). Atakujący może wykonać dowolne skrypty webowe lub HTML za pomocą spreparowanego payloadu.

AlanWeb SCADA zapisuje wrażliwe informacje, w tym dane logowania użytkowników, do pliku dziennika. Połączenie z inną podatnością (CVE-2026-34184) może pozwolić nieautoryzowanemu użytkownikowi na dostęp do tych danych i dalszą eskalację uprawnień w systemie.

W Apache Airflow w wersjach od 3.0.0 do 3.1.8 endpoint oczekiwania DagRun zwraca wartości wyników XCom nawet użytkownikom mającym jedynie uprawnienia odczytu DAG Run, takim jak rola Viewer. Jest to sprzeczne z modelem RBAC FAB, który traktuje XCom jako odrębny chroniony zasób.

W jeecgboot JimuReport do wersji 2.3.0 wykryto podatność w funkcji DriverManager.getConnection pliku /drag/onlDragDataSource/testConnection komponentu Data Source Handler. Manipulacja argumentem dbUrl prowadzi do wstrzyknięcia kodu, a exploit jest publicznie dostępny.

W systemie Movie Ticketing System 1.0 (code-projects) wykryto podatność w nieznanej funkcji pliku /db/moviedb.sql, związanej z obsługą kopii zapasowej bazy SQL. Manipulacja może prowadzić do ujawnienia informacji. Atak jest możliwy zdalnie, a exploit został publicznie ujawniony.

W PHPGurukul News Portal Project 4.1 wykryto lukę w nieznanej funkcji pliku /admin/check_availability.php. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany.

W aplikacji PHPGurukul News Portal Project 4.1 wykryto podatność SQL Injection w pliku /admin/add-subcategory.php. Manipulacja argumentem sucatdescription pozwala na wstrzyknięcie złośliwego kodu SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W PHPGurukul News Portal Project 4.1 wykryto podatność SQL Injection w pliku /admin/add-subadmins.php. Manipulacja argumentem sadminusername prowadzi do wstrzyknięcia kodu SQL. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.

W projekcie awwaiid mcp-server-taskwarrior do wersji 1.0.1 włącznie występuje podatność na wstrzykiwanie poleceń w funkcji server.setRequestHandler pliku index.ts przez argument Identifier. Atak wymaga dostępu lokalnego. Opublikowano exploit, dostępna jest łatka.

Wtyczka Download Manager dla WordPress do wersji 3.3.52 zawiera podatność na Stored XSS przez atrybut 'sid' shortcode'u 'wpdm_members'. Brak odpowiedniej sanityzacji i eskejpowania danych wejściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.

Wtyczka OSM – OpenStreetMap dla WordPressa do wersji 6.1.15 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez atrybuty 'marker_name' i 'file_color_list' shortcode'u [osm_map_v3]. Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu strony.

Wtyczka Ziggeo dla WordPress do wersji 3.1.1 włącznie ma brak autoryzacji w handlerze AJAX wp_ajax_ziggeo_ajax. Sprawdza tylko nonce, ale nie sprawdza uprawnień użytkownika. Nonce jest dostępny dla wszystkich zalogowanych użytkowników. Uwierzytelnieni atakujący (od subskrybenta wzwyż) mogą wykonywać wiele operacji administracyjnych, takich jak zapisywanie dowolnych tłumaczeń, zarządzanie szablonami zdarzeń, modyfikowanie ustawień SDK i zarządzanie powiadomieniami.

Wtyczka Experto Dashboard for WooCommerce dla WordPress do wersji 1.0.4 zawiera podatność na Stored Cross-Site Scripting w polach ustawień (np. rozmiar czcionki nawigacji). Brak odpowiedniej sanityzacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem Administratora wstrzyknięcie skryptów, które wykonują się na stronie ustawień. Dotyczy tylko instalacji wielostanowiskowych i instalacji z wyłączonym unfiltered_html.

Wtyczka MStore API dla WordPress do wersji 4.18.3 zawiera podatność IDOR w funkcji update_user_profile(). Uwierzytelniony użytkownik z dostępem Subscriber może modyfikować dowolne meta pola swojego konta, w tym wrażliwe jak wp_user_level, bez odpowiedniej walidacji.

W narzędziu taskflow-ai do wersji 2.1.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego w komponencie terminal_execute. Atak polega na manipulacji w pliku src/mcp/server/handlers.ts i może być przeprowadzony zdalnie. Łatka jest dostępna w wersji 2.1.9.