Katalog podatności CVE

Atakujący może spowodować, że serwer odłączy urządzenie docelowe od jego obecnego właściciela i ponownie przypisze je do konta żądającego, niezależnie od tego, czy urządzenie jest obecnie przypisane do innego konta. Pozwala to atakującemu uzyskać pełny identyfikator seryjny urządzenia.

Wtyczka Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental dla WordPressa jest podatna na trwały cross-site scripting (Stored XSS) poprzez treść komentarzy, wynikający z nadania roli Customer uprawnienia unfiltered_html oraz niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Podatność dotyczy wszystkich wersji do 3.0.1 włącznie i wymaga aktywnego WooCommerce, ale ponieważ rola klienta jest dostępna w ramach swobodnej samodzielnej rejestracji, wykorzystanie jest możliwe przez każdego niezalogowanego użytkownika, który utworzy konto. Złośliwy ładunek jest zwracany bez sanityzacji przez nieuwierzytelniony endpoint REST /wp-json/wp/v2/comments oraz kanały RSS komentarzy, co naraża klientów headless, czytniki RSS i widżety firm trzecich.

Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.

Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.

Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.

Nieprawidłowa kontrola dostępu w haśle kontaktu zasobu w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu ogólne uprawnienie Edit, ale bez uprawnienia Edit asset, na modyfikację hasła kontaktu zasobu poprzez spreparowane bezpośrednie żądanie do endpointu partial-save.

Endpoint ujawnia obserwowalną rozbieżność odpowiedzi podczas przetwarzania wartości ID. Żądanie z nieistniejącym ID zwraca inny kod błędu niż żądanie z prawidłowym, zarejestrowanym ID, co pozwala atakującemu posiadającemu ważny token dostępu – bez dalszej autoryzacji – odróżnić prawidłowe wartości ID od całej 10-cyfrowej przestrzeni numerycznej. W połączeniu z brakiem istotnego ograniczania liczby żądań stanowi to wyrocznię enumeracji, umożliwiającą masowe odkrywanie zarejestrowanych urządzeń.

W bibliotece luksmeta wykryto błąd niewłaściwej walidacji granic slotów metadanych. Atakujący mogący dostarczyć lub zmodyfikować nagłówek dysku może przekierować operacje czyszczenia lub wczytywania poza zamierzony obszar metadanych, co prowadzi do nadpisania lub wyzerowania zaszyfrowanych danych i trwałej utraty danych.

Wtyczka YITH PayPal Express Checkout for WooCommerce zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 1.61.0.

Wtyczka MapSVG zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka PowerPack Addons for Elementor zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 3.1.0.

Wtyczka MapSVG zawiera podatność braku autoryzacji, która pozwala na odczyt osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 8.16.1.

Wtyczka The Events Calendar zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do 6.18.1.

Wtyczka SmartCrawl zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.16.4.

Wtyczka BookIt zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.6.0.5.

Wtyczka Passster zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.3.18.

Wtyczka WP Event Solution zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.1.26.

Erupt do wersji 2.3.0 zawiera podatność na wstrzyknięcie HQL, która pozwala uwierzytelnionym użytkownikom ominąć filtry danych ograniczone do drzewa poprzez wstrzyknięcie nieescapowanych cudzysłowów do parametru linkTreeVal w POST /erupt-api/data/table/{erupt}. Atakujący posiadający uprawnienia do zapytań na encjach z celami linkTree opartymi na kluczach tekstowych mogą dołączać zawsze prawdziwe klauzule OR lub podzapytania logiczne, aby odczytywać dane z innych zmapowanych encji.

Wtyczka WordPress Squeeze przed wersją 1.8.1 nie wykonuje sprawdzenia uprawnień w jednej ze swoich akcji AJAX, co pozwala uwierzytelnionym użytkownikom z rolą tak niską jak Subscriber przywrócić dowolny załącznik do jego kopii zapasowej oraz trwale usunąć tę kopię zapasową i wygenerowane przez wtyczkę pochodne WebP, niezależnie od własności.

Wtyczka WordPress MAIO przed wersją 7.3.22 nieprawidłowo ogranicza dostęp do swoich danych analitycznych, traktując wartość poświadczenia dostarczoną dosłownie w swoim publicznym kodzie źródłowym jako prawidłowy klucz API. Pozwala to nieuwierzytelnionym atakującym na pobranie przechowywanego dziennika analityki crawlowania, w tym adresu IP, agenta użytkownika i referera każdego zarejestrowanego odwiedzającego.