Katalog podatności CVE

Podatność na trwały atak XSS w wtyczce WPC Countdown Timer for WooCommerce firmy WPClever. Problem dotyczy wersji od n/a do 3.1.4 włącznie.

Wtyczka MDTF do wersji 1.3.3.9 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność umożliwia nieautoryzowany dostęp do funkcji.

Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.

Wtyczka ZoloBlocks do wersji 2.3.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność umożliwia nieautoryzowany dostęp do funkcji.

Wtyczka Whydonate (wp-whydonate) do wersji 4.0.15 ma podatność braku autoryzacji, która pozwala na dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL).

Wtyczka Hydra Booking dla Themefic ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.1.9 włącznie.

Wtyczka DELUCKS SEO do WordPressa (wersje do 2.5.9) ma podatność braku autoryzacji, umożliwiającą dostęp do funkcji, które nie są odpowiednio ograniczone przez ACL. Może to pozwolić na nieautoryzowane działania.

Wtyczka Captcha.eu (wersje do 1.0.61) jest podatna na Server-Side Request Forgery (SSRF). Pozwala to atakującemu na wymuszenie żądań po stronie serwera do dowolnych zasobów.

Wtyczka Evergreen Content Poster do WordPressa zawiera podatność Cross-Site Request Forgery (CSRF) w wersjach do 1.4.5 włącznie. Może ona pozwolić atakującemu na wymuszenie niepożądanych działań w imieniu uwierzytelnionego użytkownika.

Wtyczka Code Amp Search & Filter (search-filter) do wersji 1.2.17 włącznie jest podatna na atak typu Cross-Site Request Forgery (CSRF).

Wtyczka Custom CSS dla WordPressa do wersji 1.4.0 włącznie ma brak mechanizmu autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Survey Maker (wersje do 5.1.8.8 włącznie) zawiera lukę przechowywanego cross-site scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwe skrypty mogą być zapisane i wykonane u użytkowników.

W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] oraz [5.0.0, 5.0.4], gdy włączone jest wyświetlanie listy katalogów, nazwy plików i katalogów są wstawiane do generowanego HTML bez odpowiedniego escapowania w atrybutach href, title i link. Atakujący mogący tworzyć lub zmieniać nazwy plików w udostępnianym katalogu może wywołać przechowywany XSS.

Podatność w LibreChat w wersji 0.7.9 umożliwia wstrzyknięcie HTML przez nagłówek Accept-Language. Zalogowany użytkownik może wysłać spreparowane żądanie GET, co prowadzi do wstrzyknięcia dowolnego HTML do znacznika <html lang=""> w odpowiedzi, co może prowadzić do ataków XSS.

Hugging Face Smolagents w wersji 1.20.0 zawiera podatność typu XPath injection w funkcji search_item_ctrl_f w pliku src/smolagents/vision_web_browser.py. Funkcja ta konstruuje zapytanie XPath, bezpośrednio łącząc dane wejściowe użytkownika z wyrażeniem XPath bez odpowiedniej sanityzacji lub escapowania.

W wersji 1.6.0 aplikacji langgenius/dify-web mechanizm uwierzytelniania ujawnia istnienie kont użytkowników, zwracając różne komunikaty błędów dla nieistniejących i istniejących kont. Przy próbie logowania lub rejestracji z nieistniejącą nazwą użytkownika lub adresem e-mail system odpowiada komunikatem typu "konto nie znaleziono", natomiast gdy nazwa użytkownika lub e-mail istnieje, ale hasło jest nieprawidłowe, zwracany jest inny komunikat błędu.

NLnet Labs Unbound do wersji 1.24.1 włącznie jest podatny na możliwe ataki przejęcia domeny. Nieselekcjonowane zestawy rekordów NS, które uzupełniają pozytywne odpowiedzi DNS w sekcji autorytatywnej, mogą zostać wykorzystane do zaktualizowania informacji o delegacji strefy w resolverze. Aktualizacja do wersji 1.24.1 zawiera poprawkę usuwającą niechciane rekordy NS, a wersja 1.24.2 dodatkowo usuwa je z odpowiedzi YXDOMAIN i non-referral nodata.

Wtyczka All in One Time Clock Lite dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 2.0 włącznie, poprzez akcję AJAX 'aio_time_clock_lite_js' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej rejestrowanie czasu pracy innych użytkowników (clock in/out).

Występuje desynchronizacja połączenia pomiędzy proxy HTTP a backendem modelu. Poprawki zostały wdrożone dla wszystkich proxy przed dotkniętymi modelami do 2025-09-28. Użytkownicy nie muszą podejmować żadnych działań.

Robot Ghost Robotics Vision 60 w wersji v0.27.2 posiada fizyczne interfejsy, w tym trzy złącza RJ45 i port USB Type-C, które nie wymagają uwierzytelnienia przy nawiązywaniu połączenia. Wewnętrzny router robota automatycznie przypisuje adresy IP każdemu fizycznie podłączonemu urządzeniu, a robot działa na ROS 2 bez domyślnego uwierzytelniania.