Katalog podatności CVE

Wtyczka Ak Framework dla WordPressa (dołączona do motywu Newsy) w wersjach do 2.9.8 włącznie jest podatna na eskalację uprawnień z powodu braku sprawdzania uprawnień w handlerach ajax_refresh_nonce i ak_admin_ajax przed przekazaniem nazw i wartości opcji do update_option(). Nieuwierzytelniony atakujący może zaktualizować dowolne opcje WordPressa, w tym users_can_register i default_role, aby uzyskać uprawnienia administratora.

Wtyczka Independent Analytics Pro dla WordPressa w wersjach do 2.15.5 włącznie jest podatna na przechowywany XSS poprzez parametr 'utm_campaign' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymagane jest aktywne wersji Pro, a atakujący musi najpierw odwiedzić stronę frontendową, aby uzyskać podpisany ładunek, a następnie odtworzyć go z spreparowanym utm_campaign przeciwko endpointowi /iawp/search.

Wtyczka JS Help Desk dla WordPressa (wersje do 5.0.1 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji setSupportCustomImage. Uwierzytelniony atakujący z uprawnieniami administratora może usunąć dowolny plik na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu kluczowego pliku, np. wp-config.php. Wykorzystanie wymaga dwuetapowej sekwencji: zapisania spreparowanej wartości traversal w polu konfiguracji, a następnie wywołania usunięcia poprzez przesłanie nowego obrazu.

Wtyczka Redux Framework dla WordPressa (wersje do 4.5.15 włącznie) jest podatna na przechowywany cross-site scripting poprzez pole multi_media. Renderer pola wypisuje zapisaną wartość do atrybutu href, ukrytego pola input i elementu HTML bez escapowania, a dodatkowo funkcja user_meta_save() sprawdza uprawnienia na podstawie identyfikatora użytkownika z treści żądania, co pozwala subskrybentowi zapisać pole wymagające uprawnień manage_options. Uwierzytelniony atakujący z poziomem subskrybenta może wstrzyknąć dowolne skrypty do własnego profilu, które wykonają się, gdy administrator wyświetli ten profil.

Wtyczka Ad Inserter dla WordPressa (wersje do 2.8.19 włącznie) jest podatna na wykonanie dowolnego shortcode, ponieważ pozwala użytkownikom na wykonanie akcji bez odpowiedniej walidacji wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode. Wykorzystanie wymaga, aby administrator skonfigurował blok reklamowy zawierający dynamiczny tag, taki jak {title}, {tag}, {category} lub {smart-tag}, z włączonym wyświetlaniem na stronach wyszukiwania.

Wtyczka Database Cleaner dla WordPressa w wersjach do 1.4.7 włącznie nie ogranicza tabel bazy danych, które mogą być usunięte. Uwierzytelniony atakujący z uprawnieniami administratora może usunąć kluczowe tabele WordPressa.

Wtyczka WordPress AI Engine (Meow Apps) w wersjach do 3.8.8 zawiera podatność Cross-Site Request Forgery (CSRF). Może ona pozwolić atakującemu na wymuszenie wykonania niepożądanych akcji w kontekście zalogowanego użytkownika.

Wtyczka WordPress Event Tickets (Liquid Web / StellarWP) w wersjach do 5.30.2 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to pozwolić na dostęp do funkcji lub danych, które powinny być chronione.

W Bazarr przed wersją 1.5.7-beta.14 przestrzeń nazw `api_ns_plex` w `bazarr/api/plex/oauth.py` nie wymaga uwierzytelnienia, przez co anonimowi wywołujący mogą wykonywać operacje modyfikujące konfigurację, m.in. wylogowanie integracji Plex, zapisanie wybranego klucza API, powiązanie tokenu konta atakującego oraz operacje `write_config()`. Dodatkowo brak walidacji stanu OAuth i przyjmowanie adresów serwerów atakującego prowadzi do fałszowania żądań po stronie serwera (SSRF) i ujawnienia poświadczeń.

W Frappe Learning Management System (LMS) przed wersją 2.54.2 nieopublikowane rekordy certyfikatów mogą być pobierane i przeglądane przez użytkowników, którzy nie powinni mieć do nich dostępu. Może to ujawnić szczegóły certyfikatów należących do innych użytkowników. Problem nie pozwala na modyfikację danych ani podniesienie uprawnień.

W Frappe Learning Management System (LMS) przed wersją 2.54.0 rekordy zgłoszeń quizów nie są odpowiednio autoryzowane po stronie serwera. Uwierzytelniony student może poprzez obejście REST zapisać wynik quizu jako zaliczony lub perfekcyjny bez weryfikacji odpowiedzi, odblokowując ukończenie kursu i certyfikaty. Może też tworzyć zgłoszenia przypisane do innego użytkownika, wyczerpując jego dozwolone próby.

W myTinyWMS przed wersją 1.6.4 zarządzanie produktami (Artikel) i kategoriami przechowuje parametr `name` bez odpowiedniej sanityzacji po stronie backendu i renderuje surowe ciągi z bazy przez nieescapowany output Blade w komórkach tabel, m.in. w `article/index.blade.php` i `category/index.blade.php`. Uwierzytelniony atakujący może zapisać złośliwy kod, który wykona się w przeglądarce innego użytkownika po otwarciu odpowiedniego widoku, umożliwiając kradzież sesji i przejęcie konta administratora.

W Frappe Learning Management System (LMS) przed wersją 2.52.1 przepływ płatności za kurs/certyfikat akceptuje ceny kontrolowane przez klienta. Uwierzytelniony użytkownik może dokonać zakupu płatnego kursu lub certyfikatu za kwotę inną niż rzeczywista cena. Jest to problem integralności logiki biznesowej, który nie ujawnia danych innych użytkowników ani nie podnosi uprawnień.

W DBHub przed wersją 0.22.6 walidacja SQL tylko do odczytu może być obejściowa na konektorach MySQL i MariaDB. Podwójny myślnik bez następującego białego znaku może ukryć przed walidatorem kolejną instrukcję zapisu lub destrukcyjną DDL, podczas gdy baza interpretuje myślniki jako operatory minus i wykonuje obie instrukcje. Każdy, kto może wpłynąć na SQL asystenta, w tym przez wstrzyknięcie promptu, może obejść tryb tylko do odczytu i modyfikować lub usuwać dane.

W ZAC przed wersją 5.2.0 endpointy odczytu po identyfikatorze w ZaakRestService.kt pomijają autoryzację assertPolicy. Uwierzytelniony użytkownik gminny o niskich uprawnieniach, znający UUID sprawy lub decyzji, może odczytać decyzje, historię audytu oraz stan procesu BPMN w nieautoryzowanych typach spraw. Doradztwo wskazuje również endpoint afzender jako ujawniający konfigurację skrzynki bez sprawdzenia polityki.

W SecureDrop od wersji 2.5.0 do 2.16.0 interfejs dziennikarza może akceptować token sesji API w interfejsie webowym, ponieważ SessionInterface utrzymuje zmienny prefiks klucza sesji zmieniający się przy każdym żądaniu. Atakujący, który ma już dostęp do adresu onion interfejsu dziennikarza, wymagane uwierzytelnienie i ważny token sesji API, może użyć tego tokenu w interfejsie webowym do jego naturalnego wygaśnięcia (maksymalnie osiem godzin).

W Frappe Learning Management System (LMS) przed wersją 2.52.0 uwierzytelniony użytkownik z rolą edycji kursu może wstrzyknąć złośliwy JavaScript poprzez pola meta tagów w module Course Management. Wartości są przechowywane bez odpowiedniej sanityzacji HTML i nie są bezpiecznie escapowane podczas renderowania, co umożliwia przechowywany cross-site scripting.

W BeeHome MyBeeHome przed wersją 2025-11-01 występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez funkcjonalność edycji profilu oraz komponent czatu. Brak szczegółów dotyczących wektora ataku w dostarczonym opisie.

Wtyczka APIExperts Square for WooCommerce (woosquare) zawiera podatność Cross-Site Request Forgery (CSRF). Problem dotyczy wersji od n/a do 4.7.5 włącznie. Może to pozwolić atakującemu na wymuszenie na uwierzytelnionym użytkowniku wykonania niepożądanych działań.

Wtyczka The Events Calendar (the-events-calendar) zawiera podatność Missing Authorization, pozwalającą na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 6.18.2 włącznie. Może to umożliwić nieuprawniony dostęp do funkcji lub danych.