Katalog podatności CVE

Wtyczka JoomSport dla WordPressa w wersjach do 5.7.11 włącznie jest podatna na ogólną iniekcję SQL poprzez parametr 'team_id' z powodu niewystarczającej ucieczki danych wejściowych i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia poufnych informacji z bazy danych. Podatna ścieżka kodu jest osiągana, gdy sezon nie ma powiązanego terminu joomsport_tournament, co jest stanem domyślnym dla nowo utworzonych sezonów.

Checkmk w wersjach <2.5.0p18, <2.4.0p39, <2.3.0p52 oraz 2.2.0 (EOL) zawiera nieprawidłową walidację certyfikatów. Dołączone magazyny zaufanych certyfikatów ("certifi" i "webpki-roots") zawierają główny CA ufający certyfikatom pośrednim eMudhra (emSign), których klucze prywatne są publicznie znane.

Wtyczka LiteSpeed Cache dla WordPressa w wersjach do 7.9.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy opcja HTML Minify (O_OPTM_HTML_MIN) jest włączona, a towarzysząca wtyczka renderuje zapisaną treść komentarza w kontekście surowego tekstu, takim jak blok skryptu JSON-LD na tej samej stronie.

Na oficjalnej stronie Foxit występuje podatność na ujawnienie poufnych informacji, ponieważ kod JavaScript zawiera dane autoryzacyjne stron trzecich. Może to umożliwić nieuprawnionym podmiotom uzyskanie lub niewłaściwe wykorzystanie ujawnionych poświadczeń.

W usłudze konwersji HTML na PDF na oficjalnej stronie Foxit występuje podatność typu server-side request forgery (SSRF). Obsługa danych wejściowych w formacie ZIP może obejść ograniczenia żądań do wewnętrznych adresów IP, potencjalnie umożliwiając odkrywanie zasobów sieci wewnętrznej.

W usłudze konwersji HTML na PDF na oficjalnej stronie Foxit występuje podatność polegająca na nieprawidłowej kontroli dostępu, spowodowana używaniem współdzielonego tokenu dla przesyłanych dokumentów konwersji. Może to umożliwić nieuprawnionym użytkownikom dostęp do dokumentów przesłanych przez innych użytkowników.

Wtyczka HT Mega Addons for Elementor dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez atrybut 'href' elementu <a> wewnątrz .htmega-tab-nav we wszystkich wersjach do 3.2.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga współistniejącej wtyczki takiej jak wpDiscuz z włączonym edytorem, obecności widżetu HT Mega Tabs na tej samej stronie co sekcja komentarzy oraz kliknięcia przez ofiarę w zainfekowany link.

Wtyczka RSS Aggregator by Feedzy dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'media:group/media:description' (element XML w importowanym kanale) we wszystkich wersjach do 5.2.12 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga skonfigurowania przez administratora importu Feed-to-Post wskazującego na kontrolowany przez atakującego adres URL kanału i uruchomienia importu.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'bbp_reply_content' we wszystkich wersjach do 7.9.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem dostępu subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga włączenia przez administratora Viewport Images (VPI) i skonfigurowania nazwy pliku VPI pasującej do obrazu, który atakujący może osadzić w treści generowanej przez użytkownika.

Wtyczka Mapster WP Maps dla WordPressa w wersjach do 2.0.5 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS). Wynika to z trasy REST /wp-json/mapster-wp-maps/save-mapmaker zarejestrowanej z permission_callback zwracającym bezwarunkowo true oraz z faktu, że funkcja mapster_write_config_to_acf() sanityzuje tylko wartości tekstowe przez sanitize_text_field(), a renderer shortcode mapster_wp_map konkatenuje zapisaną wartość loading_background_color do atrybutu style bez esc_attr(). Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę.

Wtyczka Greenshift – animation and page builder blocks dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'comment' we wszystkich wersjach do 13.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby strona zawierała blok Advanced HTML Element z włączoną animacją Split Text otaczającą blok Latest Comments wyświetlający fragmenty komentarzy.

Wtyczka Greenshift – animation and page builder blocks dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'comment' we wszystkich wersjach do 13.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga opublikowania przez administratora strony zawierającej blok Text Animated z ustawieniem Content na Blocks, zagnieżdżony blok Latest Comments z włączonymi fragmentami i co najmniej jedną skonfigurowaną wartość Animated Texts.

Wtyczka Sequential Order Numbers for WooCommerce dla WordPressa jest podatna na przechowywany XSS poprzez klucze tablicy 'condition' Post Meta we wszystkich wersjach do 3.6.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem dostępu współtwórcy lub wyższym mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Media Library Assistant dla WordPressa jest podatna na odbity XSS poprzez parametr 'search-string' we wszystkich wersjach do 3.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku. Wykorzystanie wymaga publicznie dostępnej strony zawierającej shortcode [mla_gallery] z skonfigurowanym trybem paginacji i szablonem mla_link_href odzwierciedlającym token {+request:...+} oraz odpowiedniej liczby załączników do wywołania paginacji.

Wtyczka Extensions for Leaflet Map dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'feature.properties[<template-token>]' we wszystkich wersjach do 5.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga wcześniejszego skonfigurowania przez administratora publicznej mapy z kombinacją shortcode'ów [leaflet-map]+[leaflet-geojson]+[choropleth], której adres URL źródła GeoJSON jest kontrolowany przez atakującego.

W polkit wykryto błąd polegający na tym, że przetwarzanie danych wejściowych rozpoczynających się od bajtu null powoduje błąd arytmetyczny w pomocniku agenta uwierzytelniania. Prowadzi to do niedomiaru liczby całkowitej podczas obliczania długości bufora i w konsekwencji do odczytu poza granicami pamięci, co może spowodować awarię aplikacji i odmowę usługi (DoS).

W oprogramowaniu ICTBroadcast (środowisko demo) występuje podatność cross-site scripting (XSS) w punkcie końcowym 'login.php'. Parametr 'editForm[extension_username]' jest odzwierciedlany w odpowiedzi bez odpowiedniego filtrowania, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary po wejściu na złośliwy adres URL.

Wtyczka WordPress 'Contact Form by Supsystic' w wersji przed 1.11.1 nie usuwa znaków CR/LF ani nie waliduje ponownie wartości pól przed dołączeniem ich do nagłówków wychodzących wiadomości e-mail, gdy formularz mapuje pole na nagłówek Reply-To, From lub Cc. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie dowolnych nagłówków e-mail, takich jak dodatkowi odbiorcy Bcc lub Cc, do wiadomości powiadomienia.

W platformie Radius Xenia M2M Platform występuje luka polegająca na niewystarczającej walidacji danych wejściowych w funkcji odzyskiwania hasła w interfejsie zarządzania. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane zapytanie SQL przez pola formularza, co może prowadzić do nieautoryzowanego dostępu do danych, ujawnienia struktury bazy danych lub modyfikacji rekordów.

Zgłoszenie CVE zostało odrzucone z powodu VUL-2026-008368, ponieważ dotyczy tego samego problemu, który został zgłoszony wcześniej. Brak dalszych szczegółów technicznych w dostarczonym opisie.