Katalog podatności CVE

Wtyczka WordPress MapPress w wersji przed 2.97.15 nie ogranicza, których danych użytkowników renderuje jej handler osadzania mapy w interfejsie front-end. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie adresu e-mail i nazwy wyświetlanej dowolnego użytkownika witryny poprzez wyliczanie identyfikatorów użytkowników.

Wtyczka WordPress Media Library Assistant w wersji przed 3.44 nie escapuje jednego z atrybutów shortcode przed wyświetleniem go w atrybucie generowanych linków. Umożliwia to użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka WordPress Media Library Assistant w wersji przed 3.44 nie sprawdza, czy żądający użytkownik ma prawo do wyświetlenia wpisu, zanim ujawni przypisane do niego terminy taksonomii. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, poznanie przypisań terminów prywatnych załączników i wpisów.

Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień w handlerze testowej wiadomości e-mail, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to użytkownikowi o niskich uprawnieniach, np. subskrybentowi, wysłanie z witryny wiadomości e-mail do dowolnego odbiorcy z podrobionym adresem nadawcy.

Wtyczka WordPress Kali Forms — Contact Form & Drag-and-Drop Builder w wersji przed 2.4.30 nie wykonuje sprawdzenia uprawnień, gdy jej handler testowej wiadomości e-mail rozwiązuje i zwraca adres e-mail użytkownika, opierając się wyłącznie na nonce dostępnym dla każdego zalogowanego użytkownika. Umożliwia to uwierzytelnionym użytkownikom o minimalnych uprawnieniach (subskrybent i wyżej) ujawnienie adresu e-mail dowolnego zarejestrowanego użytkownika, w tym administratorów.

W urządzeniu WAVLINK WL-WN530HG4B (wersja M_V260724) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

W urządzeniu WAVLINK WN579X3-D (wersja V250402) wykryto podatność w funkcji port_forward w pliku /cgi-bin/wapi.cgi. Manipulacja argumentem Name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W urządzeniu WAVLINK WL-WN579A3-A (wersja 2026-03-10-94f93d4) wykryto podatność w funkcji set_wzdgwMesh w pliku /cgi-bin/adm.cgi, w komponencie Initial Setup Wizard. Manipulacja argumentem wlan_ssid prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Wykryto podatność bezpieczeństwa w Presenton do wersji 0.9.11-beta. Dotyczy ona nieznanej części pliku /app_data w komponencie Desktop Authentication Middleware i prowadzi do ujawnienia informacji. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

Biblioteka imagecodecs w wersjach od 2023.1.23 do 2026.10.10 zawiera przepełnienie bufora na stosie w parserze tabel Huffmana bezstratnego JPEG w funkcji decode_jpegsof3(). Złośliwy plik może spowodować przepełnienie tablic HufVal i HufSz na stosie i zawieszenie procesu wywołującego.

Biblioteka imagecodecs w wersjach od 2026.3.6 do 2026.10.10 zawiera podatność na nieskończoną pętlę w funkcji ccitt_fax4_decode_size(). Atakujący może dostarczyć spreparowany strumień CCITT Group 4 bez znacznika EOFB, co powoduje zawieszenie procesu i pełne zużycie CPU.

OpenAlgo w wersjach od 1.0.0.29 przed 2.0.3.1 zawiera podatność na nieprawidłową walidację certyfikatów w plikach utils/email_utils.py i utils/email_debug.py, która wyłącza sprawdzanie nazwy hosta i certyfikatu TLS dla STARTTLS i SMTPS. Atakujący w pozycji sieciowej może przedstawić sfałszowany certyfikat i przechwycić dane logowania SMTP oraz całą późniejszą pocztę.

Thelia Back-office Default Twig Template przed wersją 1.1.1 zawiera podatność CSRF w trasach /admin/product/combinations/update i /admin/product/default-price/update, które przyjmują żądania GET bez sprawdzania tokenu anty-CSRF. Atakujący może nakłonić zalogowanego administratora do kliknięcia spreparowanego linku, co zmieni ceny, stany magazynowe, wagę, EAN i flagi sprzedaży kombinacji produktów.

Thelia przed wersją 3.1.1 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym administratorom back-office z uprawnieniem do aktualizacji sklepu wstrzykiwać skrypty przez przesyłanie nieoczyszczonych obrazów SVG logo_file lub banner_file. Złośliwy SVG z ładunkiem onload może być serwowany z /admin/store-media/logo lub publicznego katalogu cache/images/store/ i wykonywać skrypty wobec odwiedzających i administratorów z wyższymi uprawnieniami.

FFmpeg w wersjach od 2.3 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w dekoderze Huffyuv, która pozwala ujawnić pamięć sterty w zdekodowanych pikselach przez krótkie strumienie bitowe packed-BGR. Złośliwy plik wideo Huffyuv BGR24/BGRA może spowodować dodanie niezainicjowanych bajtów s->temp[0] do klatek wyjściowych.

FFmpeg w wersjach od 4.4 do 9.0.2 zawiera podatność na użycie niezainicjowanej zmiennej w dekoderze CDXL, która ujawnia pamięć stosu w zdekodowanych pikselach przez niewypełnione wpisy palety HAM. Złośliwy plik CDXL typu 0 może spowodować ujawnienie bajtów stosu i fragmentów wskaźników w wyjściu BGR24.

FFmpeg w wersjach od 0.10 do 9.0.2 zawiera podatność na użycie niezainicjowanego zasobu w funkcji sunrast_decode_frame(), która ujawnia pamięć sterty podczas dekodowania obciętych obrazów Sun Raster z paletą 1-bitową i 4-bitową. Złośliwy obcięty plik Sun Raster może spowodować rozszerzenie nieoczyszczonej mapy bitowej do pikseli PAL8 i ujawnienie pozostałości pamięci sterty.

FFmpeg w wersjach od 2.1 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanego zasobu w dekoderze PCX. Atakujący może spreparować obraz PCX, którego dane RLE kończą się zbyt wcześnie, powodując kopiowanie niezainicjalizowanej zawartości bufora av_malloc() do widocznych pikseli.

FFmpeg w wersjach od 2.0 do 9.0.2 zawiera podatność polegającą na użyciu niezainicjalizowanej zmiennej w dekoderze Go2Meeting. Atakujący może spreparować strumień G2M3/G2M4 z krótką paletą Kempf, powodując kopiowanie niezainicjalizowanych bajtów stosu, w tym wskaźników lub strażników stosu, do zdekodowanego wyjścia.

W produkcie Presenton w wersjach do 0.9.11-beta wykryto słabość w nieokreślonej funkcjonalności komponentu API, polegającą na braku uwierzytelniania. Atak można zainicjować zdalnie, a exploit został publicznie udostępniony. Aktualizacja do wersji 0.9.12-beta rozwiązuje problem.