Katalog podatności CVE

W Daptin (headless CMS GraphQL/JSON-API) przed wersją 0.12.26 globalny LanguageMiddleware przekazuje surowy nagłówek Accept-Language do parsera golang.org/x/text bez filtra rozmiaru i kształtu. Zabezpieczenie przed CVE-2022-32149 liczy myślniki, ale nie podkreślniki, więc długie listy podtagów językowych rozdzielonych podkreślnikami omijają je i powodują kwadratowe przetwarzanie bufora. Nieuwierzytelnione żądania do strony publicznej lub /api mogą wyczerpać CPU serwera.

W VoiceSentinel (system moderacji głosu dla serwerów Minecraft) w wersjach 2.2.1–3.3.0 opcjonalny bufor raportów ma wyścig między czyszczeniem retencji a zapisami transkryptów. _maybe_cleanup() używa niezablokowanego słownika do ograniczania czyszczenia raz na godzinę, a _cleanup_tenant() przepisuje transcripts.jsonl bez blokady pliku i bez atomowej zamiany, podczas gdy report_buffer_append_async dopisuje dane bez synchronizacji. Przy włączonym buforze raportów równoległe zapisy mogą utracić, zduplikować lub uszkodzić dane oraz uniemożliwić przycinanie retencji, prowadząc do nieograniczonego wzrostu zajętości dysku.

W Crass (parser CSS w Ruby zgodny ze specyfikacją CSS Syntax Level 3) przed wersją 1.0.7 wartości liczbowe w notacji naukowej są przeliczane z nieograniczoną potęgą przed ograniczeniem wyniku do Float::MAX. Aplikacje parsujące niezaufany CSS mogą zostać zmuszone do nadmiernego zużycia CPU i pamięci przy przetwarzaniu bardzo małego wejścia, co może doprowadzić do awarii.

W Copernik XML Factory (bezpieczne domyślne fabryki JAXP dla Javy) przed wersją 0.1.2 nie blokuje rozwiązywania zasobów XInclude w standardowym providerze JDK, gdy aplikacja włączy XInclude na fabryce zwróconej przez XmlFactories.newDocumentBuilderFactory() lub newSAXParserFactory() albo na XMLReader przekazanym przez XmlFactories.harden(). Parsowanie niezaufanego XML może ujawnić pliki lokalne lub, przez odwołania http, umożliwić SSRF do wewnętrznych punktów sieciowych.

W AdminNeo (narzędziu do zarządzania bazami danych w PHP) w wersjach 4.6.2–5.4.x nieuwierzytelniony endpoint ?script=version przyjmuje dane POST bez walidacji pochodzenia, CSRF i typu parametrów. Parametr version[] staje się tablicą PHP, którą bootstrap.inc.php serializuje do współdzielonego cache adminneo.version, a design.inc.php przekazuje tę wartość do cookie() i rawurlencode(), powodując TypeError. Atakujący może wywołać HTTP 500 dla wszystkich użytkowników na 24 godziny lub do usunięcia zatrutego cache.

Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

Wtyczka Fast Velocity Minify w wersjach do 3.5.7 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.

W OpenAM przed wersją 16.1.1 moduł uwierzytelniania RADIUS otwiera niepołączony socket datagramowy i ufa pierwszemu datagramowi UDP odebranemu na porcie źródłowym klienta. Ścieżka odbioru nie weryfikuje źródłowego IP i portu, nie dopasowuje identyfikatora odpowiedzi do żądania ani nie sprawdza Response Authenticator (RFC 2865); Message-Authenticator (RFC 2869) nie jest wysyłany ani wymagany. Każdy pakiet inny niż Reject/Challenge jest traktowany jako sukces, więc atakujący może wyścignąć prawdziwy serwer lub rozsyłać sfałszowane Access-Accept i uzyskać sesję dla dowolnej nazwy użytkownika mapowanej na RADIUS bez znajomości wspólnego sekretu.

Wtyczka WordPress BA Book Everything w wersjach do 1.8.33 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka WordPress WP EasyPay w wersjach do 4.5.4 zawiera podatność Path Traversal, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem.

Wtyczka VikRentCar (e4jvikwp) do wersji 1.4.10 zawiera podatność typu Stored XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka WordPress MasterStudy LMS w wersjach do 3.7.55 zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą subskrybenta. Może to prowadzić do wstrzyknięcia złośliwego obiektu PHP.

Wtyczka WordPress Product Feed Manager w wersjach do 7.14.1 zawiera podatność PHP Object Injection, którą może wykorzystać użytkownik z rolą menedżera sklepu. Może to prowadzić do wstrzyknięcia złośliwego obiektu PHP.

Wtyczka WordPress WP BASE Booking w wersjach do 6.5.2 zawiera podatność eskalacji uprawnień, którą może wykorzystać użytkownik z rolą subskrybenta. Może to prowadzić do podniesienia uprawnień w obrębie witryny.

Wtyczka WordPress WP REST Cache w wersjach do 2026.3.1 zawiera podatność Broken Access Control, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć dostępu.

Wtyczka WordPress Flexible Chat w wersjach do 1.1.0 zawiera podatność ujawnienia wrażliwych danych, którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może uzyskać dostęp do informacji, które powinny być chronione.

Wtyczka WordPress eCommerce Product Catalog w wersjach do 3.6.5 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka WordPress Mang Board WP w wersjach do 2.4.6 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.

Wtyczka VikRentCar w wersjach do 1.4.9 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka HUSKY w wersjach do 1.4.6 zawiera podatność Broken Access Control, która nie wymaga uwierzytelnienia. Atakujący może obejść mechanizmy kontroli dostępu i wykonać nieautoryzowane działania.