Katalog podatności CVE

AVideo to otwartoźródłowa platforma wideo, w wersji 29.0 i wcześniejszych, zawiera lukę w pliku processPayment.json.php, która umożliwia atakującym dodawanie dowolnych środków do portfela zalogowanego użytkownika. Problem wynika z braku walidacji transakcji Authorize.Net oraz hardcodowania sukcesu płatności.

WWBN AVideo to otwarta platforma wideo, która w wersji 29.0 i wcześniejszych przechowuje opisy kategorii z danych wejściowych użytkowników i renderuje je jako surowy HTML w widoku galerii. Użytkownik, który może tworzyć lub edytować kategorie, może wprowadzić JavaScript w opisie kategorii, co skutkuje jego wykonaniem, gdy inny użytkownik przegląda stronę galerii/kategorii.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersji 29.0 i wcześniejszych, nieautoryzowany zdalny atakujący może odczytać dowolne pliki graficzne na dysku, które użytkownik PHP może otworzyć, w tym prywatne zdjęcia profili użytkowników oraz miniatury przesyłane przez administratorów.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersji 29.0 i wcześniejszych, plik view/update.php odczytuje $_POST['updateFile'] jako ścieżkę względną w katalogu updatedb/ i przekazuje ją do funkcji file() w PHP, co umożliwia wykonanie jej linia po linii w ramach migracji bazy danych.

WWBN AVideo to otwarta platforma wideo. W wersjach 29.0 i wcześniejszych plik objects/mention.json.php nie zawiera mechanizmu sprawdzania logowania użytkownika ani zabezpieczeń administracyjnych, co umożliwia nieautoryzowaną enumerację użytkowników.

WWBN AVideo to otwartoźródłowa platforma wideo. W wersji 29.0 i wcześniejszych, pliki EpgParser.php, plugin/AI/receiveAsync.json.php oraz inne miejsca nie wykorzystują parametru wyjściowego $resolvedIP funkcji isSSRFSafeURL() do pinowania DNS za pomocą CURLOPT_RESOLVE, co otwiera możliwość ataku DNS-rebinding TOCTOU.

AVideo to otwartoźródłowa platforma wideo, która w wersji 29.0 i wcześniejszych ma podatność na atak typu cross-site request forgery (CSRF) w funkcji przełączania 2FA. Wtyczka plugin/LoginControl/set.json.php akceptuje żądania POST typu set2FA z wartością false, co pozwala na wyłączenie 2FA dla zalogowanego użytkownika bez odpowiednich zabezpieczeń.

n8n-MCP to serwer MCP, który umożliwia asystentom AI dostęp do dokumentacji, właściwości i operacji węzłów n8n. Przed wersją 2.51.3, sanitarz telemetrii workflow mógł zachować częściowe fragmenty parametrów węzłów w formacie URL przed wysłaniem danych workflow do anonimowego backendu telemetrii projektu.

AVideo to otwartoźródłowa platforma wideo, która w wersji 29.0 i wcześniejszych ma podatność na przechowywane ataki typu cross-site scripting. Wtyczka Live renderuje klucz strumienia transmisji na stronie HTML bez odpowiedniego zabezpieczenia, co pozwala na wykonanie złośliwego kodu JavaScript przez odwiedzających stronę.

DreamMaker opracowany przez Interinfo ma podatność na przejście ścieżki, która pozwala nieautoryzowanym zdalnym atakującym na odczyt nazw plików w dowolnej ścieżce, wykorzystując podatność na absolutne przejście ścieżki.

DreamMaker opracowany przez Interinfo ma podatność na odczyt dowolnych plików, która pozwala uprzywilejowanym lokalnym atakującym wykorzystać przejście przez względną ścieżkę do pobrania dowolnych plików systemowych.

Wykryto podatność w TRENDnet TEW-432BRP 3.10B20, która dotyczy funkcji formWPS w pliku /goform/formWPS. Manipulacja argumentem peerPin prowadzi do wstrzyknięcia poleceń, co umożliwia zdalne przeprowadzenie ataku.

Wykryto podatność w urządzeniu TRENDnet TEW-432BRP 3.10B20, która dotyczy funkcji formSetRoute w pliku /goform/formSetRoute. Manipulacja argumentami ip/mask/gateway prowadzi do możliwości wstrzyknięcia poleceń, co umożliwia zdalne wykorzystanie tej podatności.

Podatność w module kontroli bezprzewodowej (WCM) motocykla Indian Motorcycle Scout Bobber + Tech 2025 umożliwia atakującemu z sąsiedniej sieci, posiadającemu dostęp do zapisu w sieci pojazdu, trwałe unieruchomienie motocykla. Mechanizm blokady przed atakami brute-force na algorytm uwierzytelniania immobilizera jest podatny na manipulację, ponieważ licznik blokad jest osiągalny przez każdą nieuwierzytelnioną wiadomość, nie jest powiązany z sesją i nie resetuje się po cyklu zasilania. Atakujący może celowo wywołać blokadę za pomocą niewielkiej liczby spreparowanych ramek, uniemożliwiając uruchomienie motocykla do czasu serwisu dealerskiego.

Słabe uwierzytelnianie między modułem sterowania bezprzewodowego (WCM) a modułem sterowania silnikiem (ECM) w motocyklu Indian Motorcycle Scout Bobber + Tech z 2025 roku pozwala atakującemu w sąsiedniej sieci, mającemu dostęp do odczytu sieci pojazdu, na odzyskanie tajnego klucza immobilizera ECM poprzez bierne obserwowanie pojedynczej wymiany seed/key. WCM używa odwracalnej, niekryptograficznej operacji zamiast kryptograficznego wyzwania-odpowiedzi, co umożliwia odtworzenie trwałego sekretu immobilizera z jednej przechwyconej wymiany.

GroupOffice, narzędzie do zarządzania relacjami z klientami i grupowe, przed wersjami 26.0.25, 25.0.100 i 6.8.165, pozwala uwierzytelnionym użytkownikom na trwałe zapisanie dowolnych ustawień dla każdego identyfikatora użytkownika. W połączeniu z problemem w module e-mail, niskoprawni użytkownicy mogą nadpisać ustawienie czcionki e-mail administratora, co prowadzi do ataku XSS.

W Mautic 7 występuje podatność typu Cross-Site Scripting (XSS) w komponencie selektora projektów. Aplikacja nie sanitizuje nazw projektów zwracanych przez AJAX, co pozwala na wstrzyknięcie złośliwego skryptu do DOM.

W komponencie Focus Mautic występuje podatność typu Server-Side Request Forgery (SSRF). Z powodu niewystarczającej walidacji adresów URL dostarczonych przez użytkowników, uwierzytelniony użytkownik może wywołać wychodzące żądania HTTP z serwera hostingowego.

Wtyczka Rank Math SEO – AI SEO Tools to Dominate SEO Rankings dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w funkcji update_site_editor_homepage we wszystkich wersjach do 1.0.271 włącznie. Umożliwia to nieautoryzowanym atakującym modyfikację ustawień wtyczki, co może poważnie wpłynąć na pozycjonowanie SEO.

Wtyczka Contact Form 7 – PayPal & Stripe Add-on dla WordPressa jest podatna na obejście płatności z powodu niewystarczającej weryfikacji autentyczności danych we wszystkich wersjach do 2.4.9 włącznie. Funkcja `cf7pp_paypal_ipn_handler()` poprawnie weryfikuje autentyczność IPN, ale nie porównuje kluczowych pól z danymi zamówienia, co pozwala atakującym na oznaczanie zamówień jako opłacone bez odpowiedniej weryfikacji.