Katalog podatności CVE

WWBN AVideo w wersjach 26.0 i wcześniejszych zawiera podatność w punkcie końcowym plugin/YPTWallet/view/users.json.php, który zwraca dane osobowe wszystkich użytkowników oraz salda portfeli każdemu uwierzytelnionemu użytkownikowi. Brakuje sprawdzenia uprawnień administratora.

Admidio przed wersją 5.0.8 zawiera podatność CSRF w module rejestracji. Akcje zatwierdzania oczekujących rejestracji (create_user, assign_member, assign_user) są wykonywane przez żądanie GET bez walidacji tokena CSRF, co pozwala atakującemu na automatyczne zatwierdzenie własnej rejestracji, oszukując administratora z odpowiednimi uprawnieniami.

Admidio przed wersją 5.0.8 zawiera podatność w module inwentarza, gdzie punkt końcowy item_save akceptuje kontrolowany przez użytkownika parametr POST imported, który po ustawieniu na true całkowicie omija walidację tokena CSRF oraz walidację po stronie serwera. Uwierzytelniony użytkownik może wysłać bezpośrednie żądanie POST, aby zapisać dowolne dane elementu inwentarza bez ochrony CSRF i bez sprawdzania wartości pól, które normalnie wymusza FormPresenter.

Admidio przed wersją 5.0.8 nie waliduje tokena CSRF w procedurze usuwania konfiguracji list w mylist_function.php. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia złośliwej strony, co prowadzi do trwałego usunięcia konfiguracji list, w tym współdzielonych list organizacyjnych, jeśli ofiara ma uprawnienia administratora.

Parse Server przed wersjami 8.6.63 i 9.7.0-alpha.7 zwraca niesanitowane dane uwierzytelniające z endpointu weryfikacji hasła, w tym sekrety MFA TOTP, kody odzyskiwania i tokeny OAuth. Atakujący znający hasło użytkownika może wyodrębnić sekret MFA i generować ważne kody MFA.

Captcha Protect, middleware Traefik, jest podatny na odbite ataki XSS. Strona wyzwania akceptuje wartość destination od klienta i renderuje ją w HTML za pomocą text/template, które nie wykonuje kontekstowego escapingu HTML.

W aplikacji Video player Play All Videos v1.0.135 firmy RAREPROB SOLUTIONS PRIVATE LIMITED występuje podatność na nadpisywanie dowolnych plików podczas procesu importu plików. Atakujący może nadpisać krytyczne pliki wewnętrzne, co prowadzi do wykonania dowolnego kodu lub ujawnienia informacji.

Funkcje _.unset i _.omit w bibliotece Lodash są podatne na zanieczyszczenie prototypu (prototype pollution). Poprawka dla CVE-2025-13465 chroni tylko przed elementami kluczy będących ciągami znaków, więc atakujący może obejść to sprawdzenie, przekazując segmenty ścieżki opakowane w tablicę. Umożliwia to usunięcie właściwości z wbudowanych prototypów, takich jak Object.prototype, Number.prototype i String.prototype. Luka pozwala na usunięcie właściwości prototypu, ale nie umożliwia nadpisania ich oryginalnego zachowania. Podatność została naprawiona w wersjach od 4.18.0 do 4.18.1 w zależności od pakietu: lodash, lodash-es i lodash-amd w 4.18.1 oraz samodzielne pakiety lodash.unset i lodash.omit w 4.18.0.

W SourceCodester Loan Management System v1.0 występuje luka w logice biznesowej z powodu braku walidacji po stronie serwera. Uwierzytelniony atakujący może ominąć ograniczenia interfejsu i przesłać ujemną wartość dla pola interest_percentage, tworząc plany pożyczek z ujemnym oprocentowaniem.

Simple Gym Management System 1.0 jest podatny na ataki SQL Injection w komponencie Payment Handler. Parametry Payment_id, Amount, customer_id, payment_type i customer_name są podatne na manipulację.

W Discourse stwierdzono obejście autoryzacji w kontrolerze Category Chatables, które pozwala moderatorom uzyskać informacje o ukrytych grupach i liczbie użytkowników.

Discourse ma lukę w endpointzie testowym ustawień e-mail grupy, który umożliwia inicjowanie połączeń wychodzących do dowolnych hostów i portów. Endpoint był dostępny dla właścicieli grup niebędących personelem.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 umożliwia użytkownikowi zakup subskrypcji niższego poziomu, ale uzyskanie korzyści przypisanych do wyższego poziomu subskrypcji.

Discourse z wtyczką discourse-subscriptions w wersjach od 2026.1.0 do 2026.1.3, od 2026.2.0 do 2026.2.2 oraz od 2026.3.0 do 2026.3.0 ujawnia klucze API Stripe między witrynami w klastrze wielostanowiskowym. Może to prowadzić do wycieku informacji związanych ze Stripe między witrynami w tym samym klastrze.

Discourse pozwala uwierzytelnionemu użytkownikowi na uzyskanie tytułów tematów z kategorii współdzielonych szkiców poprzez wysłanie żądania inline onebox z odpowiednim category_id.

Discourse umożliwia użytkownikom niebędącym personelem dostęp do informacji o potwierdzeniach przeczytania postów przeznaczonych tylko dla personelu. Ujawniane są metadane (kto i kiedy przeczytał), ale nie treść posta.

Discourse w wersjach przed 2026.1.3, 2026.2.2 i 2026.3.0 pozwala użytkownikom, którzy utracili dostęp do tematu (np. usunięci z grupy prywatnej), na interakcję z ankietami w tym temacie, w tym głosowanie i zmianę statusu ankiety.

Discourse umożliwia wnioskowanie o członkostwie w kanałach czatu poprzez wyszukiwanie użytkowników bez odpowiedniej autoryzacji.

W platformie dyskusyjnej Discourse w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 moderatorzy grup kategorii mogli wykonywać uprzywilejowane działania na tematach w prywatnych kategoriach, do których nie mieli dostępu do odczytu. Podatność została załatana w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse, gdy włączona jest opcja ukryta 'prioritize_full_name_in_ux', nazwy wyświetlane użytkowników i grup są renderowane bez kodowania HTML w kilku ścieżkach UI związanych z przypisaniami. Umożliwia to użytkownikom z uprawnieniami assign wstrzyknięcie dowolnego HTML/JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty temat.