Katalog podatności CVE

Wtyczka IDonate – Blood Donation, Request And Donor Management System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji panding_blood_request_action() we wszystkich wersjach do 2.1.15 włącznie. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych wpisów.

Wtyczka Subscriptions & Memberships for PayPal for WordPress we wszystkich wersjach do 1.1.7 włącznie jest podatna na tworzenie fałszywych płatności z powodu nieprawidłowej weryfikacji autentyczności żądania IPN. Nieuwierzytelniony atakujący może tworzyć fałszywe wpisy płatności, które w rzeczywistości nie wystąpiły.

Wtyczka Cookie Notice & Compliance for GDPR / CCPA dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez shortcode 'cookies_accepted' we wszystkich wersjach do 2.5.8 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współautora lub wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi wstrzykniętą stronę.

W połączeniach TLS 1.2 klient może użyć dowolnego obsługiwanego skrótu, w tym słabszego, zamiast skrótów wskazanych w CertificateRequest. Może to osłabić bezpieczeństwo uzgadniania połączenia.

W wolfSSL w wersji 5.8.2 na wielu platformach występuje nieprawidłowa walidacja danych wejściowych podczas parsowania KeyShareEntry w TLS 1.3. Zdalny nieuwierzytelniony atakujący może wywołać odmowę usługi, wysyłając spreparowaną wiadomość ClientHello zawierającą zduplikowane wartości KeyShareEntry dla tej samej grupy, co prowadzi do nadmiernego zużycia CPU i pamięci.

Nieprawidłowa walidacja danych wejściowych podczas parsowania rozszerzenia CKS w TLS 1.3 w wolfSSL 5.8.2 i wcześniejszych na wielu platformach pozwala zdalnemu nieuwierzytelnionemu atakującemu potencjalnie wywołać odmowę usługi poprzez spreparowaną wiadomość ClientHello z zduplikowanymi rozszerzeniami CKS.

Serwer wcześniej weryfikował binder PSK TLS 1.3 przy użyciu metody niebędącej stałoczasową, co potencjalnie mogło ujawnić informacje o binderze PSK.

SpiceDB to open source'owy system bazodanowy do tworzenia i zarządzania uprawnieniami aplikacji o krytycznym znaczeniu dla bezpieczeństwa. W wersjach przed 1.47.1, jeśli schemat zawiera określone cechy (uprawnienie zdefiniowane jako suma (+) odwołująca się do tej samej relacji po obu stronach, ale jedna strona wskazuje na inne uprawnienie), SpiceDB może zwracać niekompletne wyniki LookupResources. Problem dotyczy tylko LookupResources; inne API obliczają uprawnienia poprawnie. Naprawiono w wersji 1.47.1.

Langfuse w wersjach od 2.95.0 do przed 2.95.12 oraz od 3.17.0 do przed 3.131.0 ma lukę w konfiguracjach dostawców SSO bez jawnego ustawienia AUTH_<PROVIDER>_CHECK, co może prowadzić do przejęcia konta przez atak CSRF lub phishing.

ESF-IDF to framework rozwoju IoT firmy Espressif. W wersjach 5.5.1, 5.4.3 i 5.3.4, gdy ESP32-P4 używa sprzętowego dekodera JPEG, parser oprogramowania nie ma niezbędnych kontroli walidacji. Specjalnie spreparowany złośliwy obraz JPEG może wykorzystać procedurę parsowania i wywołać dostęp do tablicy poza granicami. Problem naprawiono w wersjach 5.5.2, 5.4.4 i 5.3.5.

Podatność typu out-of-bounds read w jądrze systemów Apple została naprawiona poprzez poprawę sprawdzania granic. Atakujący znajdujący się w fizycznej bliskości urządzenia może wywołać odczyt poza zakresem pamięci jądra.

W Safari 18.5 i macOS Sequoia 15.5 naprawiono problem podszywania się (spoofing) poprzez ulepszone obcinanie (truncation) podczas wyświetlania w pełni kwalifikowanej nazwy domeny. Strona internetowa może być w stanie podszyć się pod nazwę domeny w tytule okna pop-up.

Problem z parsowaniem ścieżek katalogów został naprawiony poprzez ulepszoną walidację ścieżek. Podatność dotyczy systemów macOS Sequoia 15.5, macOS Sonoma 14.7.3 i macOS Ventura 13.7.3. Aplikacja może uzyskać dostęp do wrażliwych danych użytkownika.

W Black Duck SCA w wersjach przed 2025.10.0 uprawnienia ról użytkowników były skonfigurowane zbyt szeroko. Użytkownicy z ograniczoną rolą Project Manager i włączonym uprawnieniem Global User Read uzyskiwali dostęp do niektórych funkcji Project Administrator, które powinny być niedostępne. Wykorzystanie nie daje pełnej kontroli nad systemem, ale może umożliwić nieautoryzowane zmiany w konfiguracjach projektów lub dostęp do wrażliwych informacji systemowych.

IBM Concert Software w wersjach od 1.0.0 do 2.0.0 może pozwolić zdalnemu atakującemu na przejęcie akcji kliknięcia ofiary, co może prowadzić do niepożądanych działań w imieniu użytkownika.

W AWS Wickr przed wersją 6.62.13 w systemach Windows, macOS i Linux występuje nieprawidłowe zwalnianie zasobów podczas zakończenia połączenia. Uczestnik rozmowy może nadal odbierać dźwięk od innego użytkownika po zamknięciu okna połączenia.

W Wazuh od wersji 3.7.0 do przed 4.12.0 implementacja fim_alert() nie sprawdza, czy oldsum->md5 jest NULL, przed jego dereferencją. Przejęty agent może spowodować awarię analysisd, wysyłając specjalnie spreparowaną wiadomość do menedżera Wazuh.

W Wazuh od wersji 4.3.0 do przed 4.13.0 brak ACL na pliku „C:\Program Files (x86)\ossec-agent\authd.pass” ujawnia hasło wszystkim użytkownikom „Authenticated Users” na maszynie lokalnej. Podatność naprawiono w wersji 4.13.0.

W narzędziu AMD uprof występuje podatność polegająca na nieprawidłowej walidacji danych wejściowych. Lokalny atakujący może nadpisać rejestry MSR, co może prowadzić do awarii systemu lub odmowy usługi.

Wazuh to projekt open source do wykrywania zagrożeń, widoczności i zgodności. W wersjach od 4.9.0 do przed 4.13.0 API Wazuh – Agent Configuration w pewnych konfiguracjach pozwala uwierzytelnionym użytkownikom z rolami API tylko do odczytu na pobranie danych uwierzytelniających rejestracji agenta poprzez endpoint /utils/configuration.