Katalog podatności CVE

Wtyczka HAPPY (happy-helpdesk-support-ticket-system) firmy VillaTheme w wersjach do 1.0.9 włącznie zawiera podatność braku autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Może to umożliwić nieautoryzowanym użytkownikom dostęp do funkcji lub danych, do których nie powinni mieć dostępu.

Wtyczka VPSUForm (v-form) autorstwa Vikasa Ratudi jest podatna na ujawnienie wrażliwych informacji systemowych nieuprawnionemu podmiotowi, co pozwala na odzyskanie osadzonych danych wrażliwych. Problem dotyczy VPSUForm w wersjach od nieznanej do 3.2.24 włącznie.

Wtyczka Responsive Posts Carousel Pro dla WordPressa jest podatna na przechowywany XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Luka występuje w wersjach od nieznanej do 15.2 włącznie.

Wtyczka Happy Addons for Elementor dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'ha_page_custom_js' we wszystkich wersjach do 3.20.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym wstrzykiwanie dowolnych skryptów w strony, które wykonają się przy każdej wizycie użytkownika, mimo że funkcja Custom JS jest przeznaczona tylko dla administratorów.

Wtyczka Restrict Content dla WordPressa w wersjach do 3.2.15 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez shortcode'y 'register_form' i 'restrict'. Niedostateczna sanityzacja i ucieczka danych wejściowych pozwalają uwierzytelnionym użytkownikom z rolą Contributor lub wyższą wstrzykiwać dowolne skrypty do stron.

Wtyczka Calendar dla WordPressa w wersjach do 1.3.16 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'event_desc'. Niedostateczna sanityzacja i ucieczka danych wejściowych pozwalają uwierzytelnionym użytkownikom z rolą Contributor lub wyższą wstrzykiwać dowolne skrypty do stron, pod warunkiem że administrator włączy możliwość zarządzania wydarzeniami kalendarza dla użytkowników o niższych uprawnieniach.

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 4.11.53 włącznie. Brak walidacji nonce w funkcji 'insert_inner_template' umożliwia nieuwierzytelnionym atakującym tworzenie dowolnych szablonów Elementor poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora lub użytkownika z uprawnieniami edit_posts do wykonania akcji, np. kliknięcia linku.

Wtyczka Premium Addons for Elementor dla WordPress w wersjach do 4.11.53 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_template_content'. Umożliwia to nieuwierzytelnionym atakującym przeglądanie zawartości prywatnych, roboczych i oczekujących szablonów.

Local Deep Research w wersjach od 1.3.0 do przed 1.3.9 wykonuje żądania HTTP za pomocą surowego requests.get() bez wykorzystania wbudowanej ochrony przed SSRF (safe_requests.py). Pozwala to atakującym na dostęp do usług wewnętrznych, próby sięgnięcia do punktów metadanych dostawców chmury (AWS/GCP/Azure) oraz rekonesans sieci wewnętrznej poprzez przesłanie złośliwych URL przez API. Problem naprawiono w wersji 1.3.9.

LibreNMS w wersjach przed 25.12.0 zawiera podatność przechowywanego skryptu cross-site (XSS) w API reguł alertów. Reguły alertów można tworzyć lub aktualizować przez API LibreNMS, a nazwa reguły nie jest prawidłowo sanityzowana, co pozwala na wstrzyknięcie kodu HTML. Problem naprawiono w wersji 25.12.0.

Marshmallow, lekka biblioteka do konwersji złożonych obiektów na i z prostych typów danych Pythona, w wersjach od 3.0.0rc1 do przed 3.26.2 oraz od 4.0.0 do przed 4.1.2 jest podatna na ataki typu denial of service w Schema.load(data, many=True). Umiarkowanie duże żądanie może zużyć nieproporcjonalnie dużo czasu CPU. Problem naprawiono w wersjach 3.26.2 i 4.1.2.

W PluXml CMS 5.8.22 uwierzytelniony atakujący z dostępem do panelu administratora może przeprowadzić zdalne wykonanie kodu (RCE), wstrzykując złośliwy webshell PHP do pliku motywu, np. home.php.

W module Media systemu Piranha CMS w wersji 12.1 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.

W Piranha CMS v12.1 w module Page Settings wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Excerpt, co prowadzi do wykonania skryptów w przeglądarce ofiary.

PublicCMS V5.202506.b jest podatny na Cross-Site Scripting (XSS) w module wyszukiwania treści. Podatność pozwala na wstrzyknięcie złośliwego skryptu, który może zostać wykonany w przeglądarce użytkownika.

W FuguHub 8.1 występuje podatność typu reflected cross-site scripting (XSS) podczas serwowania plików SVG przez interfejs menedżera plików /fs/. FuguHub nie sanityzuje ani nie ogranicza wykonywania skryptów wewnątrz zawartości SVG, co pozwala na wykonanie złośliwego JavaScriptu po otwarciu spreparowanego pliku SVG.

Błąd w logice startu kontenera Keyfactor SignServer przed wersją 7.2 powoduje, że polecenie Admin CLI konfigurujące dostęp certyfikatów ustawia właściwość "allowany" przy każdym restarcie kontenera, zamiast tylko przy pierwszym uruchomieniu. Resetuje to konfigurację do stanu zezwalającego każdemu zaufanemu certyfikatowi klienta na połączenie.

Podatność w WooCommerce w wersjach od 8.1 do 10.4.2 pozwala zalogowanym klientom na dostęp do danych zamówień klientów-gości na stronach o określonej konfiguracji. Problem naprawiono w wersji 10.4.3 oraz w wydaniach punktowych dla wcześniejszych wersji, począwszy od 8.1.3. Wersje 8.0 i starsze nie są dotknięte.

W MyNET do wersji v26.08 wykryto podatność odbitego cross-site scripting (XSS) poprzez parametr msgtipo.

MyNET do wersji v26.05 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr msg. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie odzwierciedlony w odpowiedzi serwera i wykonany w przeglądarce ofiary.