Katalog podatności CVE

Wtyczka Beaver Builder (Starter Version) dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'auto_play' we wszystkich wersjach do 2.9.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na Server-Side Request Forgery we wszystkich wersjach do 5.1.0 włącznie, poprzez funkcję 'feedzy_sanitize_feeds'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej, wykonywanie żądań sieciowych do dowolnych lokalizacji pochodzących z aplikacji internetowej, co może być wykorzystane do odpytywania informacji z wewnętrznych usług.

Wtyczka MxChat – AI Chatbot for WordPress w wersjach do 2.4.6 włącznie jest podatna na ślepą podatność Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika w funkcji przetwarzania PDF. Nieuwierzytelniony atakujący może zmusić serwer WordPress do wykonania żądań HTTP do dowolnych miejsc docelowych poprzez akcję AJAX 'mxchat_handle_chat_request'.

Problem z obsługą błędów w routerze Moodle (r.php) może powodować wyświetlanie wewnętrznych list katalogów przez aplikację, gdy określone nagłówki HTTP nie zostały prawidłowo skonfigurowane.

W MOLGENIS EMX2 v11.14.0 wykryto podatność na otwarte przekierowanie. Atakujący może utworzyć złośliwy URL z manipulowanym parametrem przekierowania, prowadząc użytkowników do stron phishingowych lub innych złośliwych miejsc.

W systemie TESI Gandia Integra Total w wersji 4.4.2236.1 występuje podatność na Path Traversal. Uwierzytelniony atakujący może pobrać plik ZIP zawierający pliki z serwera, w tym z katalogów nadrzędnych, wykorzystując parametr "direstudio" w skrypcie comprimir.php.

Energy CRM v2025 firmy Status Tracker Ltd zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z braku właściwej walidacji danych wejściowych użytkownika poprzez wysłanie żądania POST do '/crm/create_job_submit.php' z parametrem 'JobCreatedBy'. Podatność może pozwolić zdalnemu użytkownikowi na wysłanie specjalnie spreparowanego zapytania do uwierzytelnionego użytkownika i kradzież szczegółów sesji cookie.

QuickCMS jest podatny na wiele podatności Stored XSS w edytorze suwaków (sliders-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany na każdej stronie. Domyślnie administrator nie może dodawać JavaScriptu do strony.

QuickCMS jest podatny na wiele podatności Stored XSS w edytorze stron (pages-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany podczas odwiedzania edytowanej strony. Domyślnie administrator nie może dodawać JavaScriptu do strony.

W podatności CVE-2025-10727 występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych w oprogramowaniu AcBakImzala firmy ArkSigner Software and Hardware Inc., co pozwala na ataki typu Reflected XSS. Problem dotyczy wersji AcBakImzala przed 5.1.4.

Wiele aplikacji do zarządzania NAS firmy I-O DATA DEVICE rejestruje usługi Windows z nieujętymi w cudzysłów ścieżkami plików. Użytkownik z uprawnieniami zapisu w katalogu głównym dysku systemowego może wykonać dowolny kod z uprawnieniami SYSTEM.

GROWI w wersji 4.2.7 i wcześniejszych zawiera podatność Cross-Site Scripting (XSS) w funkcji alertu strony. Jeśli użytkownik zalogowany do produktu odwiedzi spreparowany URL, w jego przeglądarce może zostać wykonany dowolny skrypt.

Slack Nebula w wersjach przed 1.9.7 nieprawidłowo obsługuje CIDR w niektórych konfiguracjach, co powoduje akceptowanie dowolnych źródłowych adresów IP w sieci Nebula. Może to pozwolić na nieautoryzowany dostęp do sieci.

W serwerze Command Centre Server występuje nieobsłużony wyjątek (CWE-248), który pozwala upoważnionemu i uprzywilejowanemu operatorowi na celowe spowodowanie awarii serwera. Podatność dotyczy wersji: 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.

W integracji Gallagher Morpho występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci zwykłego tekstu (CWE-312). Uwierzytelniony użytkownik z dostępem do Command Centre Server może wyeksportować konkretny klucz podpisujący podczas jego używania, co pozwala na wdrożenie naruszonego lub podrobionego urządzenia na tym obiekcie. Problem dotyczy Command Centre Server w wersjach 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7), 9.00 przed vEL9.00.3831 (MR8) oraz wszystkich wersji 8.90 i wcześniejszych.

W serwerze Command Centre występuje podatność Client-Side Enforcement of Server-Side Security (CWE-602), która pozwala uprzywilejowanemu operatorowi wprowadzić nieprawidłowe dane kompetencji, omijając sprawdzanie wygaśnięcia. Podatność dotyczy wersji 9.30 przed vEL9.30.2482 (MR2), 9.20 przed vEL9.20.2819 (MR4), 9.10 przed vEL9.10.3672 (MR7) oraz wszystkich wersji 9.00 i starszych.

W serwerze Command Centre Server występuje ujawnienie prywatnych danych osobowych nieautoryzowanemu podmiotowi (CWE-359), które pozwala uprzywilejowanemu operatorowi na przeglądanie ograniczonych danych osobowych posiadacza karty, do których normalnie nie ma uprawnień. Podatność dotyczy wersji: 9.30.1874 (MR1), 9.20.2337 (MR3), 9.10.3194 (MR6).

Sakai, środowisko współpracy i nauki, przed wersjami 23.5 i 25.0, inicjalizuje hasło AES256TextEncryptor (serverSecretKey) za pomocą RandomStringUtils z domyślnym java.util.Random. java.util.Random jest niekryptograficznym PRNG i może być przewidziany z ograniczonej informacji o stanie/seed (np. okno czasu startu), co znacznie zmniejsza przestrzeń poszukiwań wygenerowanego klucza. Atakujący, który może uzyskać ciphertexty (np. eksportowane lub przechowywane dane chronione tym serwisem) i przybliżyć seed PRNG, może odtworzyć serverSecretKey i odszyfrować dotknięte dane. SAK-49866 jest załatany w Sakai 23.5, 25.0 i trunk.

Authlib to biblioteka Pythona do budowy serwerów OAuth i OpenID Connect. W wersjach przed 1.6.5 ścieżka JWE zip=DEF wykonuje nieograniczoną dekompresję DEFLATE, co pozwala atakującemu na wyczerpanie pamięci i CPU oraz spowodowanie odmowy usługi.

OpenBao to system zarządzania sekretami. W wersjach przed 2.4.2 dziennik audytu nie redagował odpowiednio pól, gdy podsystemy wysyłały parametry []byte zamiast ciągów znaków. Dotyczy to m.in. sys/raw z encoding=base64 oraz Transit przy operacjach podpisywania kluczem Ed25519, co powodowało ujawnienie danych w logach audytu. Problem naprawiono w wersji 2.4.2.