Katalog podatności CVE

Wtyczka PowerPress Podcasting dla WordPress zawiera podatność na Cross-Site Request Forgery (CSRF). Podatność dotyczy wersji do 11.13.12 włącznie.

Wtyczka Email Template Customizer for WooCommerce od VillaTheme do wersji 1.2.17 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka wpresidence firmy WpEstate zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 5.3.2 włącznie.

Podatność przechowywanego XSS w motywie Rehub (przed wersją 19.9.9.1) pozwala na wstrzykiwanie skryptów podczas generowania stron internetowych.

Podatność typu Stored XSS w motywie Eduma od ThimPress. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka Super Store Finder dla WordPressa (wersje do 7.5) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może zmusić zalogowanego użytkownika do wykonania niepożądanych akcji.

Wtyczka WordPress Blog Designer PRO w wersjach do 3.4.8 włącznie ma lukę braku autoryzacji, która pozwala na dostęp do funkcjonalności nieodpowiednio ograniczonej przez listy kontroli dostępu (ACL). Może to umożliwić nieautoryzowane działania.

Metoda Keras.Model.load_model, nawet z włączonym safe_mode=True, jest podatna na odczyt dowolnych plików lokalnych oraz Server-Side Request Forgery (SSRF) poprzez specjalnie spreparowany plik .keras z warstwą StringLookup wskazującą ścieżkę lokalną lub zdalną.

Wtyczka Doppler Forms dla WordPressa do wersji 2.5.1 rejestruje akcję AJAX 'install_extension' bez weryfikacji uprawnień użytkownika i bez użycia nonce. W rezultacie każdy uwierzytelniony użytkownik — w tym z rolą Subscriber — może instalować i aktywować dodatkowe wtyczki Doppler Forms (ograniczone do tych z białej listy głównej wtyczki Doppler Forms).

Wtyczka WooCommerce od Automattic do wersji 10.0.2 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka Anti-Malware Security and Brute-Force Firewall dla WordPressa w wersjach do 4.23.81 włącznie jest podatna na odczyt dowolnych plików z powodu braku sprawdzenia uprawnień w połączeniu z ujawnieniem informacji w kilku akcjach AJAX GOTMLS_*. Uwierzytelniony atakujący z poziomem Subscriber i wyższym może odczytać zawartość dowolnych plików na serwerze.

Wtyczka Popup box dla WordPressa (wersje do 5.5.4) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może zmusić zalogowanego użytkownika do wykonania niepożądanych akcji.

Niedostateczna sanityzacja zawartości przesyłanych plików SVG w DNN (DotNetNuke) przed wersją 10.1.1. Jest to niekompletna poprawka dla CVE-2025-48378, która nie obejmuje wszystkich scenariuszy XSS.

DNN (dawniej DotNetNuke) przed wersją 10.1.1 pozwala niezalogowanym użytkownikom na przesyłanie plików w domyślnym środowisku edycji HTML. Otwiera to potencjalny wektor do innych problemów bezpieczeństwa i nie jest potrzebne w większości wdrożeń. Podatność została naprawiona w wersji 10.1.1.

FastMCP przed wersją 2.13.0 ma podatność na odbity XSS w stronie wywołania zwrotnego klienta OAuth (oauth_callback.py), gdzie nieuciekane wartości kontrolowane przez użytkownika są wstawiane do generowanego HTML, co pozwala na wykonanie dowolnego JavaScriptu w kontekście serwera wywołania zwrotnego. Problem został naprawiony w wersji 2.13.0.

Sharp to framework do zarządzania treścią zbudowany dla Laravela jako pakiet. Przed wersją 9.11.1 odkryto podatność Cross-Site Scripting (XSS) w code16/sharp podczas renderowania treści za pomocą komponentu SharpShowTextField. W podatnych wersjach wyrażenia owinięte w {{ & }} były ewaluowane przez Vue, co pozwalało atakującym wstrzyknąć dowolny JavaScript lub HTML wykonujący się w przeglądarce podczas wyświetlania pola. Problem został naprawiony w wersji 9.11.1.

PrivateBin to pastebin z zerową wiedzą serwera o danych. W wersjach od 1.7.7 do 2.0.1 występuje trwałe wstrzyknięcie HTML poprzez nieoczyszczoną nazwę załącznika (attachment_name), gdy załączniki są włączone. Atakujący może zmodyfikować attachment_name przed szyfrowaniem, aby po odszyfrowaniu wstawić dowolny HTML w pobliżu informacji o rozmiarze pliku, umożliwiając przekierowania i defacement oraz ataki phishingowe. Wykonywanie skryptów jest zazwyczaj blokowane przez zalecane CSP.

Discourse to platforma dyskusyjna. W wersjach przed 3.6.2 i 3.6.0.beta2 brakowało domyślnego nagłówka Cache-Control (no-store, no-cache) w odpowiedziach błędów. Może to powodować niezamierzone buforowanie tych odpowiedzi przez proxy, prowadząc do ataków cache poisoning.

Punkt końcowy zdarzeń w Consul i Consul Enterprise jest podatny na atak typu denial of service (DoS) z powodu braku maksymalnej wartości nagłówka Content Length.

Punkt końcowy klucz/wartość w Consul i Consul Enterprise jest podatny na atak typu denial of service (DoS) z powodu nieprawidłowej walidacji nagłówka Content Length.