Katalog podatności CVE

W ikus060 rdiffweb 7.1.1 występuje nieprawidłowe sprawdzanie zawierania ścieżek, które pozwala uwierzytelnionemu użytkownikowi na wykonywanie operacji przeglądania, przywracania, historii i usuwania na ścieżce poza repozytorium, za pomocą sekwencji przejścia zakodowanej procentowo (%2e%2e) w ścieżce żądania. Problem wynika z tego, że sprawdzanie zawierania używa porównania prefiksu ciągu (startswith) zamiast sprawdzania granicy ścieżki systemu plików. Cel musi być ścieżką sąsiednią, której nazwa zaczyna się od ścieżki repozytorium, a użytkownik musi mieć do niej uprawnienia.

Wtyczka GeoDirectory dla WordPressa (wersje do 2.8.191 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'post_content' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wymaga to posiadania opublikowanego wpisu, ale edycje już opublikowanego wpisu omijają ponowną moderację i pozostają aktywne natychmiast.

Wtyczka Events Made Easy dla WordPressa (wersje do 3.2.22 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'event[location_name]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy administrator witryny włączy zarówno funkcję zgłaszania wydarzeń przez gości (eme_fs[guest_submit]), jak i wymuszone tworzenie lokalizacji (eme_fs[force_location_creation]), które domyślnie są wyłączone.

NordVPN dla Windows pozwala lokalnym atakującym na zatrzymywanie niechronionych usług systemowych Windows i zmianę ich typu uruchamiania na Ręczny poprzez nazwane potoki. Aplikacja NordVPN w trybie użytkownika pozwala atakującemu o niskich uprawnieniach na działanie jako zaufany proces i połączenie z nazwanym potokiem "\\.\pipe\nord-security\v1\NordVpnService\Server". Atakujący może następnie wywołać metody "ISettingsGrpc.StopService" i "ISettingsGrpc.ChangeServiceStartType" z dowolną nazwą usługi, co prowadzi do odmowy usługi krytycznych usług systemowych. Usługi chronione przez Windows (procesy PPL, Windows Tamper Protection), takie jak Windows Defender, nie mogą być zatrzymane ani rekonfigurowane. Problem został naprawiony w wersji 8.12.

Wtyczka Tutor LMS dla WordPressa (wersje do 4.1.0 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr display_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga istnienia rekordu zgody prawnej dla konta atakującego, co powoduje pojawienie się przycisku View Logs w kolumnie Consent Logs w wp-admin/users.php.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność związana z aktywnym kodem debugowania, która pozwala na wykorzystanie interfejsów nieprodukcyjnych. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

W oprogramowaniu Costifier firmy SFM Software Technologies Inc. występuje podatność polegająca na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika, co pozwala na wykorzystanie zaufanych identyfikatorów. Problem dotyczy wersji Costifier do 2026-10-16. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział w żaden sposób.

Wtyczka Name Directory dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'dir' shortcode'u we wszystkich wersjach do 1.34.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka WP User Avatar / ProfilePress dla WordPressa jest podatna na dowolne wykonanie shortcode'ów w wersjach do 4.17.5 włącznie. Funkcja get_user_profile_structure() składa bufor profilu front-end, w tym surowe fragmenty komentarzy, i przekazuje cały bufor do do_shortcode() po jedynie wąskiej neutralizacji, co pozwala uwierzytelnionemu atakującemu z uprawnieniami subskrybenta wstrzyknąć dowolne shortcode'y z atakującymi atrybutami poprzez komentarz.

Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'display_name' we wszystkich wersjach do 1.12.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się gdy użytkownik najedzie na licznik polubień komentarza, ponieważ handler tooltipa przypisuje wartość atrybutu data-tooltip-description bezpośrednio do innerHTML.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie usuwa sekretów integracji akcji z ładunków postów przed rozgłaszaniem zdarzeń WebSocket o usunięciu posta i zwracaniem odpowiedzi API wątków. Uwierzytelniony członek kanału może uzyskać adresy URL webhooków po stronie serwera i kontekst uwierzytelniania z postów z interaktywnymi wiadomościami poprzez zdarzenie post_deleted lub API REST threads.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10, 11.10.x <= 11.10.1 nie sanityzuje tokenów uwierzytelniających przed zapisaniem ich do logów serwera. Atakujący z dostępem do logów serwera może uzyskać ważne tokeny sesji lub tokeny dostępu OAuth i podszyć się pod uwierzytelnionych użytkowników.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie odrzuca sesji aplikacji OAuth w punkcie końcowym zmiany typu konta. Atakujący z ważnym tokenem OAuth dla docelowego użytkownika może trwale przejąć konto tego użytkownika oparte na SSO, ustawiając hasło kontrolowane przez atakującego i odłączając konto od dostawcy tożsamości.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie ogranicza wiązania kont przy imporcie z Slacka do importów inicjowanych przez administratora systemu. Uwierzytelniony atakujący z uprawnieniami administratora zespołu może wymusić dodanie istniejących użytkowników Mattermost do swojego zespołu i sfałszować posty przypisane do ich tożsamości.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie weryfikuje uprawnień użytkownika przed innymi walidacjami, co pozwala osobom niebędącym recenzentami treści wywnioskować status oflagowania posta poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie ogranicza prywatnych zespołów przed pojawianiem się w publicznych wynikach wyszukiwania. Uwierzytelniony użytkownik bez uprawnień do listowania prywatnych zespołów może ujawnić ich ID, nazwę i nazwę wyświetlaną poprzez zmodyfikowane żądanie wyszukiwania.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie weryfikuje adresu e-mail zaproszonego odbiorcy przy realizacji tokenów zaproszeń do zespołu i gościa. Uwierzytelniony atakujący może dołączyć do zespołu lub uzyskać nieautoryzowany dostęp do prywatnych kanałów poprzez przekazany lub wyciekły link zaproszenia.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie ogranicza rozmiaru odpowiedzi zdalnych obrazów buforowanych w pamięci podczas bezpośredniego pobierania przez lokalny proxy obrazów. Zdalny atakujący może spowodować wyczerpanie pamięci serwera poprzez spreparowaną, zbyt dużą odpowiedź obrazu.

Wtyczka Social Share Buttons dla WordPressa w wersjach do 1.30 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'form (containing share_url)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.

Wtyczka FiboSearch – Ajax Search for WooCommerce dla WordPressa w wersjach do 1.34.2 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'purchased_plan' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.