Katalog podatności CVE

Wtyczka Trinity Audio – Text to Speech AI audio player dla WordPress jest podatna na odbity skrypt XSS przez parametr 'range-date' we wszystkich wersjach do 5.20.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapingu. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów, które wykonają się, jeśli użytkownik kliknie w link.

Wtyczka Trinity Audio – Text to Speech AI dla WordPressa do wersji 5.20.2 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w pliku '/admin/inc/post-management.php'. Niezalogowani atakujący mogą aktywować/dezaktywować posty, jeśli nakłonią administratora do kliknięcia w link.

Wtyczka Contest Gallery dla WordPressa do wersji 27.0.2 włącznie jest podatna na przechowywany XSS przez parametry pól formularza z powodu niedostatecznej sanityzacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem autora lub wyższym mogą wstrzykiwać skrypty.

Wtyczka Majestic Before After Image dla WordPressa do wersji 2.0.1 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez parametry 'before_label' i 'after_label' z powodu niedostatecznej sanityzacji wejścia i escapingu. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać skrypty, które wykonają się przy odwiedzeniu strony.

Wtyczka WDesignKit dla WordPressa do wersji 1.2.16 włącznie ma brak autoryzacji w funkcji wdkit_handle_review_submission. Niezalogowani atakujący mogą wysyłać dane opinii do zewnętrznych usług.

Wtyczka WP Photo Album Plus dla WordPressa do wersji 9.0.11.006 włącznie jest podatna na Cross-Site Scripting (XSS) z powodu niedostatecznego sanityzacji wejścia i braku escapingu w funkcji wppa_user_upload. Uwierzytelnieni atakujący z dostępem na poziomie Subscriber mogą wstrzykiwać skrypty do opisów albumów.

W kliencie SMTP programu fetchmail przed wersją 6.5.6 może wystąpić awaria podczas uwierzytelniania po otrzymaniu kodu statusu 334 w nieprawidłowym kontekście. Problem dotyczy obsługi nieoczekiwanej odpowiedzi serwera SMTP.

Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji registerAssociateFormsWithCampaign we wszystkich wersjach do 4.10.0 włącznie. Umożliwia to nieuwierzytelnionym atakującym powiązanie dowolnych formularzy darowizn z dowolną kampanią.

Wtyczka GiveWP – Donation Plugin i Fundraising Platform dla WordPress jest podatna na ujawnienie informacji we wszystkich wersjach do 4.10.0 włącznie przez funkcje 'registerGetForm', 'registerGetForms', 'registerGetCampaign' i 'registerGetCampaigns' z powodu braku sprawdzenia uprawnień. Umożliwia to nieuwierzytelnionym atakującym wyodrębnienie danych z prywatnych i roboczych formularzy darowizn oraz zarchiwizowanych kampanii.

Wtyczka Integrate Dynamics 365 CRM dla WordPressa jest podatna na nieautoryzowany dostęp we wszystkich wersjach do 1.0.9 włącznie. Wynika to z braku sprawdzania uprawnień i weryfikacji nonce w funkcjach podpiętych do akcji 'init'. Umożliwia to nieuwierzytelnionym atakującym dezaktywację wtyczki, manipulację konfiguracją OAuth i wywoływanie testowych połączeń ujawniających wrażliwe dane.

Mastra, framework TypeScript do budowy agentów AI, w wersjach 0.13.8 do 0.13.20-alpha.0 jest podatny na directory traversal prowadzący do ujawnienia listingu katalogów. Kontrola bezpieczeństwa ścieżek jest omijana przez późniejszą logikę podpowiedzi katalogów, co pozwala atakującemu wylistować zawartość dowolnych katalogów w systemie plików użytkownika. Poprawka w wersji 0.13.20.

KUNO CMS w wersjach 1.3.13 i niższych ma wady w funkcji przesyłania plików, które pozwalają na przechowywany XSS. Walidacja opiera się tylko na nagłówkach Content-Type, co umożliwia przesyłanie plików SVG ze złośliwymi skryptami. Problem naprawiono w wersji 1.3.14.

Minecraft RCON Terminal, rozszerzenie VS Code do zarządzania serwerami Minecraft, w wersjach od 0.1.0 do 2.0.6 przechowuje hasła w pliku settings.json w postaci zwykłego tekstu. Problem został naprawiony w wersji 2.1.0.

W Liferay Portal i Liferay DXP wrażliwe dane użytkowników mogą zostać ujęte w szablonie Freemarker. Słabość ta pozwala nieuprawnionemu podmiotowi uzyskać dostęp do poufnych informacji, które powinny pozostać ograniczone.

OpenSupports udostępnia punkt końcowy, który pozwala na edytowanie listy 'nadzorowanych użytkowników' dla dowolnego konta, nie weryfikując, czy aktor jest właścicielem tej listy. Pracownik na poziomie 1 może zmodyfikować relację nadzoru innej osoby, co pozwala jej na przeglądanie zgłoszeń dodanych 'nadzorowanych' użytkowników.

OpenSupports w wersji 4.11.0 udostępnia dwa nieuwierzytelnione punkty końcowe diagnostyczne z uprawnieniem 'any', które pozwalają na inicjowanie przez backend dowolnych połączeń sieciowych do celu podanego przez atakującego. Umożliwia to nieuwierzytelniony atak SSRF służący do skanowania sieci wewnętrznej i interakcji z usługami.

Claude Code to narzędzie do kodowania agentowego. Wersje poniżej 1.0.120 nie uwzględniały dowiązań symbolicznych przy sprawdzaniu reguł odmowy uprawnień. Jeśli użytkownik jawnie odmówił Claude Code dostępu do pliku, a Claude Code miał dostęp do dowiązania symbolicznego wskazującego na ten plik, możliwy był dostęp do pliku.

NiceGUI, framework UI oparty na Pythonie, w wersjach 2.24.2 i niższych jest narażony na Cross-Site Scripting (XSS), gdy programiści renderują nieucieczone dane wejściowe użytkownika do DOM za pomocą ui.html(). Brak sanityzacji HTML lub JavaScript pozwala atakującym na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika. Aplikacje, które nie przekazują niezaufanych danych do ui.html(), nie są dotknięte. Problem naprawiono w wersji 3.0.0.

Podatność nieprawidłowego uwierzytelniania w QNAP Authenticator. Atakujący z fizycznym dostępem może wykorzystać tę podatność do naruszenia bezpieczeństwa systemu. Podatność naprawiono w wersji 1.3.1.1227 i późniejszych.

W kilku wersjach systemu QNAP zgłoszono podatność użycia zewnętrznie kontrolowanego formatu ciągu znaków. Zdalny atakujący posiadający konto administratora może wykorzystać tę podatność do uzyskania poufnych danych lub modyfikacji pamięci. Podatność naprawiono w wersjach QTS 5.2.6.3195 build 20250715 i QuTS hero h5.2.6.3195 build 20250715 oraz nowszych.