Katalog podatności CVE

HCL BigFix AEX jest podatny na clickjacking, co może pozwolić atakującemu na osadzenie aplikacji w złośliwej stronie internetowej lub iframe i nakłonienie użytkowników do wykonania niezamierzonych działań. Może to prowadzić do nieautoryzowanych transakcji lub zmian na kontach.

HCL BigFix AEX ma podatność Server-Side Request Forgery, która może pozwolić atakującemu na wysyłanie nieautoryzowanych żądań do zasobów zewnętrznych. Udane wykorzystanie może prowadzić do dostępu do nieprzewidzianych usług, ujawnienia wrażliwych informacji lub nieautoryzowanych działań.

HCL BigFix AEX zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE). Atakujący może wykonać dowolny kod z uprawnieniami aplikacji lub usługi, co może prowadzić do nieautoryzowanego dostępu, ujawnienia danych lub przejęcia systemu.

HCL BigFix AEX zawiera podatność nieograniczonego przesyłania plików oraz niewłaściwej kontroli dostępu. Atakujący może przesłać złośliwe lub nieautoryzowane pliki oraz uzyskać bezpośredni dostęp do wrażliwych przesłanych treści, co może prowadzić do ujawnienia informacji, nieautoryzowanego dostępu lub przejęcia systemu.

Waline to system komentarzy z obsługą backendu. Przed wersją 1.41.1 endpoint logowania POST /api/token odczytuje pole email z treści żądania bez sprawdzania jego typu i przekazuje je bezpośrednio do zapytania MongoDB. Gdy email nie jest ciągiem znaków (np. obiekt JSON {"$ne": null}), adapter MongoDB po cichu pomija pole, tworząc pusty filtr pasujący do wszystkich użytkowników, a hasło jest weryfikowane względem pierwszego użytkownika (administratora). Jest to częściowe obejście uwierzytelniania, które usuwa czynnik email dla konta administratora, umożliwia enumerację użytkowników i amplifikację credential-stuffing.

Produkt HCL BigFix AEX zawiera podatność w pakiecie aws-sdk. Może ona powodować wysyłanie żądań API AWS do niezamierzonych lub niebędących AWS punktów końcowych.

W bibliotekach Progress Telerik Document Processing przed wersją 2026.3.1027 występuje niewłaściwa weryfikacja podpisów kryptograficznych oraz niewłaściwa walidacja certyfikatów w walidacji podpisów cyfrowych RadPdfProcessing. Nieuwierzytelniony atakujący może sprawić, że walidacja podpisu w spreparowanym podpisanym dokumencie PDF zgłosi sfałszowaną treść jako niezmodyfikowaną, a certyfikat podpisujący jako ważny.

W bibliotekach Progress Telerik Document Processing przed wersją 2026.3.1027 występuje podatność XML External Entity (XXE) w przetwarzaniu obrazów SVG. Nieuwierzytelniony atakujący może odczytać lokalne pliki na serwerze za pomocą spreparowanego obrazu SVG z zagnieżdżonym osadzonym SVG, gdy obraz jest przetwarzany lub eksportowany do PDF.

W bibliotekach Progress Telerik Document Processing przed wersją 2026.3.1027 występuje podatność path traversal w narzędziach agenta AI Convert i Merge. Uwierzytelniony atakujący z niskimi uprawnieniami, mogący dostarczyć argumenty narzędzia, może odczytać pliki poza skonfigurowanym katalogiem wyjściowym oraz nadpisać takie pliki, jeśli są zapisywalne, za pomocą ścieżek względnych rozwiązywanych względem bieżącego katalogu roboczego procesu.

W bibliotekach Progress Telerik Document Processing przed wersją 2026.3.1027 występują podatności niekontrolowanej rekurencji, nieskończonej pętli, niesprawdzonego warunku pętli oraz nieefektywnych wyrażeń regularnych w RadSpreadProcessing i RadSpreadStreamProcessing. Nieuwierzytelniony atakujący może zakończyć lub zawiesić proces hosta za pomocą spreparowanego skoroszytu XLSX lub XLS albo formuły.

W bibliotekach Progress Telerik Document Processing przed wersją 2026.3.1027 występują podatności niekontrolowanej rekurencji, nieskończonej pętli, nieefektywnej złożoności algorytmicznej oraz alokacji zasobów w RadPdfProcessing oraz w funkcjach podsumowywania dokumentów AI i odpowiadania na pytania. Nieuwierzytelniony atakujący może zakończyć lub zawiesić proces hosta za pomocą spreparowanego dokumentu PDF lub tekstu dokumentu przesłanego do podsumowania lub odpowiadania na pytania.

W bibliotekach Progress Telerik Document Processing Libraries przed wersją 2026.3.1027 w komponencie RadWordsProcessing występują podatności niekontrolowanej rekurencji, nieefektywnej złożoności algorytmicznej oraz nieskończonej pętli. Nieuwierzytelniony atakujący może zakończyć lub zawiesić proces hosta za pomocą spreparowanego dokumentu DOCX, DOC, RTF lub HTML.

Redux Framework firmy David Anderson ma brakującą autoryzację, co pozwala na wydobycie wrażliwych danych osadzonych w pamięci podręcznej. Problem dotyczy wersji do 4.5.16 włącznie.

W wtyczce Optima Express firmy iHomefinder, Inc. występuje podatność braku autoryzacji, umożliwiająca wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od nieznanej do 9.0.0 włącznie.

W wtyczce Accordion firmy PickPlugins występuje podatność deserializacji niezaufanych danych umożliwiająca wstrzyknięcie obiektu. Problem dotyczy wersji od nieznanej do 2.3.25 włącznie.

W wtyczce GS Logo Slider firmy GS Plugins występuje podatność deserializacji niezaufanych danych umożliwiająca wstrzyknięcie obiektu. Problem dotyczy wersji od nieznanej do 3.8.9 włącznie.

Wtyczka WP Discussion Board ma podatność Cross-site Scripting (XSS) typu stored wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 2.6.0 włącznie.

Topluyo Desktop dla Linuksa przed wersją 2026.9.2410 niebezpiecznie przetwarza URL-e kontrolowane przez użytkownika, co prowadzi do wstrzyknięcia poleceń systemowych przez funkcję openExternalLinks() w utils.js. Atakujący kontrolujący docelowy URL może wykonać dowolne polecenia systemowe z uprawnieniami użytkownika aplikacji po otwarciu linku. Wersja 2026.9.2410 naprawia problem.

W wtyczce SliceWP autorstwa iova.mihai występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 1.2.13 włącznie.

W wtyczce GetPaid firmy Stiofan występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 2.8.62 włącznie.